Uç Noktada Saldırı Yüzeyi Azaltma: GravityZone ile Sıkılaştırma
Kısaca: Saldırı yüzeyi azaltma, bir uç noktada saldırganın kullanabileceği araç, ayar ve açıkları iş ihtiyacına göre daraltmaktır. Saldırganlar giderek PowerShell, WMI gibi yerleşik araçları kötüye kullandığı için (living off the land) yalnız tespit yetmez. GravityZone'da Risk Management yanlış yapılandırma ve açıkları, Patch Management yamaları, PHASR ise kullanıcıya özel araç kısıtlamasını üstlenir.
Saldırı yüzeyi azaltma nedir, neden 2026'da öne çıkıyor?
Saldırı yüzeyi azaltma (attack surface reduction), saldırganın bir sisteme veri girebileceği, veri çıkarabileceği ya da denetimi ele geçirebileceği noktaları iş için gerçekten gerekenlerle sınırlamaktır. Uç noktada bu; gereksiz servisleri kapatmak, yanlış yapılandırmaları düzeltmek, yama uygulamak ve çalıştırılabilecek araçları kullanıcının işine göre daraltmak demektir.
Konunun öne çıkmasının nedeni saldırı yöntemindeki kayma. ABD'nin CISA, NSA ve FBI kurumlarının Avustralya, Kanada, Birleşik Krallık ve Yeni Zelanda siber güvenlik merkezleriyle 7 Şubat 2024'te yayımladığı ortak rehber, devlet destekli aktörlerin living off the land (LOTL) tekniklerini kullandığını ve bu kullanımın daha geniş tehdit ortamına yayıldığını belirtiyor.
Bitdefender de 23 Nisan 2025 tarihli duyurusunda, kendi olay incelemelerine göre meşru araçların ve LOTL tekniklerinin büyük güvenlik olaylarının yüzde 70'inden fazlasında yer aldığını açıkladı; bu oran üreticinin kendi verisidir. Uç nokta katmanının ağ, telefon ve e-postayla birlikte nasıl planlandığını KOBİ ofis BT altyapısı kurulum rehberinde bulabilirsiniz.
Living off the land saldırıları neden klasik antivirüsü zorlar?
LOTL saldırılarında saldırgan yeni bir zararlı dosya getirmez; işletim sisteminde zaten bulunan, imzalı ve güvenilir araçları kötüye kullanır. Ortak rehber, bu etkinliğin klasik ihlal göstergesi (IOC) bırakmadığını ve birçok kurumda normal davranışın taban çizgisi (baseline) olmadığı için meşru kullanımdan ayırt edilemediğini vurguluyor.
MITRE ATT&CK bilgi tabanı bu davranışları ayrı tekniklerle tanımlar; savunma tarafında en sık karşılaşılan dördü:
- T1218 System Binary Proxy Execution: Windows'ta varsayılan gelen, Microsoft imzalı ikili dosyaların başka dosya veya komutları çalıştırmak için aracı olarak kullanılması.
- T1059.001 PowerShell: Windows'a gömülü betik ortamının keşif ve kod çalıştırma için kötüye kullanılması.
- T1047 Windows Management Instrumentation: Windows yönetim altyapısı (WMI) üzerinden komut çalıştırılması.
- T1197 BITS Jobs: Arka planda dosya aktaran Windows hizmetinin indirme ve kalıcılık için kullanılması.
Rehberin en pratik uyarısı şu: meşru bir yönetim aracını herkese açmak güvenli değildir. CISA kırmızı takımları LOLBin'leri standart kullanıcılara bile açık ve PsExec için aşırı geniş istisnalar tanınmış hâlde sıkça buluyor. Bu yüzden tespit ile sıkılaştırma birbirinin yerine geçmez; tespit katmanını EDR, XDR ve MDR farkı yazısında ele aldık.
GravityZone'da saldırı yüzeyini hangi bileşenler küçültür?
GravityZone'da saldırı yüzeyini daraltan üç ana bileşen vardır: yanlış yapılandırma ve açıkları bulan Risk Management, bilinen açıkları kapatan Patch Management ve kullanıcıya özel araç kısıtlaması yapan PHASR. EDR/XDR yüzeyi küçültmez, kalan saldırıyı görünür kılar.
| Bileşen | Neyi küçültür? | Nasıl çalışır? | Üreticiye göre nerede? |
|---|---|---|---|
| Risk Management | İşletim sistemi yanlış yapılandırmaları, CVE kaydı olan uygulamalar, riskli kullanıcı davranışı | Zamanlanmış veya isteğe bağlı risk taraması; bulgu başına otomatik ya da manuel düzeltme | Endpoint Risk Analytics, karşılaştırma sayfasında Business Security paketinden itibaren listeleniyor |
| Patch Management | Yaması çıkmış bilinen açıklar | Windows, macOS, Linux ve üçüncü taraf uygulamalar için otomatik veya manuel yama | Tüm GravityZone uç nokta çözümlerine ek modül |
| PHASR | Kullanıcının hiç kullanmadığı riskli araç ve eylemler | Kullanıcı-cihaz davranış profili; eylem düzeyinde kısıtlama | Business Security Enterprise, MDR ve Cloud MSP çözümlerine ek lisans; ayrıca bağımsız ürün |
| EDR / XDR | Yüzeyi küçültmez; kalan saldırıyı görünür kılar | Uç noktalar arası olay korelasyonu, tehdit avı, müdahale | Business Security Enterprise ve XDR seviyeleri |
Paketlerin tam özellik listesi ve kurum profiline göre seçim GravityZone paketleri karşılaştırması yazısında; burada yalnız saldırı yüzeyi açısından bakıyoruz. Ürün ayrıntıları için GravityZone Business Security Enterprise, GravityZone XDR ve GravityZone Patch Management sayfalarına bakabilirsiniz.
GravityZone PHASR nasıl çalışır?
GravityZone PHASR (Proactive Hardening and Attack Surface Reduction, Bitdefender'ın proaktif sıkılaştırma ve saldırı yüzeyi azaltma teknolojisi), her kullanıcı-cihaz birleşimi için davranış profili çıkarır ve o profilde kullanılmayan riskli araç veya eylemleri kısıtlar. Bitdefender teknolojiyi 23 Eylül 2024'te erken erişimle duyurdu, 23 Nisan 2025'te dünya genelinde kullanıma açtı.
Bitdefender TechZone dokümanına göre PHASR; Windows, macOS ve Linux'ta beş etkinlik türünü izler: LOLBin'ler, kurcalama (tampering) araçları, korsan yazılım araçları, kripto madenciler ve uzaktan yönetim araçları. İzlenen kural sayısı 1.100'ün üzerindedir.
Ayırt edici nokta eylem düzeyinde kısıtlamadır: araç tümden yasaklanmaz, riskli kullanımı engellenir. Dokümandaki örnekte WMIC sistem bilgisi için serbest, yanal hareket için engellidir; PowerShell'i sık kullanan bir kullanıcıda yalnız gizlenmiş (obfuscated) veya şifreli betikler durdurulur.
Öğrenme aşaması izlenen kurallara göre 30–60 gün sürer; GravityZone EDR kullanılıyorsa geçmiş veriyle birkaç dakikaya inebilir. Sonrasında iki çalışma modu vardır; aşağıdaki karar matrisi hangisinin nerede uygun olduğunu gösterir.
| Ölçüt | Direct Control | Autopilot |
|---|---|---|
| Kararı kim verir? | Yönetici önerileri inceleyip onaylar | PHASR öğrenilen davranışa göre kendisi uygular |
| Önerdiğimiz kullanım | BT ve yönetici profilleri, iş açısından kritik uygulamalar, ilk aylar | Davranışı oturmuş standart kullanıcılar; kripto madenci, korsan araç gibi iş karşılığı olmayan kategoriler |
| Panelde görünürlük | Öneriler etki puanıyla listelenir | Autopilot'taki etkinlik türü için panelde öneri gösterilmez |
| İstisna yönetimi | Kural düzeyinde izin veya kısıt | Eylül 2026'dan (v6.77) beri elle geçersiz kılma: erişim beş gün açık kalır, kullanılmazsa kısıt geri gelir |
| Kullanıcı talebi | Windows'ta Request Access ile gerekçeli erişim talebi; iki modda da yönetici onayına düşer | |
Eylül 2026 sürüm notlarıyla gelen PHASR for AI Agents, uç noktadaki yapay zekâ ajanlarını kullanıcıdan ayrı bir davranış profili olarak ele alır; ajana PowerShell izni vermek kullanıcının iznini genişletmez. Özellik şimdilik Windows uç noktalarda sunuluyor.
Uç nokta sıkılaştırma adım adım nasıl yapılır?
Envanterle başlayıp ölçümle kapanan sekiz adımlı bir döngü, hem ortak LOTL rehberiyle hem de GravityZone Risk Management'ın "belirle, önceliklendir, ele al, izle" akışıyla örtüşür.
- Envanter ve taban çizgisi çıkarın. Hangi cihazda hangi yazılım ve yönetim aracının kullanıldığını listeleyin; CIS Controls v8.1'in ilk iki kontrolü bu envanteri temel alır. Ortak rehber LOLBin'lerin normal kullanımı için de taban çizgisi öneriyor.
- Risk taramasını zamanlayın. Risk Management politika ayarlarından zamanlanmış taramayla açılır; gerektiğinde Network sayfasından seçilen uç noktalara Risk Scan görevi başlatılır.
- Yanlış yapılandırmaları düzeltin. Findings sayfasında her bulgu için otomatik düzeltme, manuel adım, geçici yok sayma ve düzeltmeyi geri alma seçenekleri vardır; CIS uyumlu bölüm CIS v8 ile eşleşen bulguları ayrıca listeler.
- Açıkları yamayın. Vulnerabilities bölümündeki CVE kayıtlı uygulamalar için Patch App seçeneği, Patch Management modülüyle uygulamayı açığı kapatan sürüme günceller.
- PHASR'ı pilot grupta Direct Control ile başlatın. Öğrenme aşamasında önerileri kısıtlama uygulamadan izleyin; BT ve yönetici profillerini ayrı değerlendirin.
- Önerileri etkiye göre uygulayın. Etkisi en yüksek "Restrict access" önerilerinden başlayın; kullanıcılara Request Access ile erişim isteyebileceklerini duyurun.
- Uzaktan erişim araçlarını sadeleştirin. Ortak rehber, kullanılmayan uzaktan erişim araçlarını engelleyip alarm üretmeyi, bir ana ve bir yedek çözümle yetinmeyi öneriyor.
- Ölçün ve tekrarlayın. Şirket risk puanını ve PHASR panelindeki saldırı yüzeyi maruziyet oranını izleyin; davranışı oturan kategorileri Autopilot'a alın.
Bu döngü fidye yazılımına karşı kapsamlı planın yalnız uç nokta parçasıdır; yedekleme, MFA ve olay müdahalesi için KOBİ için 10 adımlı fidye yazılımı savunma planına bakabilirsiniz.
Risk taraması, yama ve PHASR yapılandırmasını kendi ortamınızda planlamak isterseniz ekibimizle görüşebilirsiniz. Bize ulaşın
Hangi bulgu önce kapatılmalı?
Önceliği dört ölçüt birlikte belirler: etki, istismar kanıtı, etkilenen cihaz sayısı ve düzeltmenin iş kesintisi riski. GravityZone'daki Industry Modifier değeri, ortamınızdaki CVE'lerin aynı sektördeki başka kurumlarda istismar edilip edilmediğini gösterir.
| Öncelik | Ölçüt | Örnek bulgu türü | Önerilen tepki |
|---|---|---|---|
| 1 — hemen | Yüksek etki, sektörde istismar kanıtı, çok cihaz | Sektörde istismar edilen CVE'li uygulama | Patch App ya da acil yama penceresi |
| 2 — bu hafta | Yüksek etki, istismar kanıtı yok, düzeltme geri alınabilir | Yerel veya grup politikası yanlış yapılandırması | Pilot cihazda otomatik düzeltme, sonra yaygınlaştırma |
| 3 — planlı | Orta etki, düzeltme iş akışını etkileyebilir | Standart kullanıcıda açık duran LOLBin'ler | PHASR Direct Control, eylem düzeyinde kısıt |
| 4 — kabul et ve izle | Düşük etki ya da telafi edici kontrol var | Hemen kaldırılamayan eski bir iş uygulaması | Gerekçeli yok sayma ve gözden geçirme tarihi |
Sıralama için her ölçüte 1–3 arası değer verip şu formülü kullanabilirsiniz: öncelik puanı = etki × istismar kanıtı × yaygınlık ÷ kesinti riski. Eşik değerini kendi risk iştahınıza göre belirleyin.
Sıkılaştırmada en sık hangi hatalar yapılır?
En sık hata, aracı tümden kapatıp iş akışını bozmak ya da "geçici" istisnaları kalıcı bırakmaktır. Her turdan önce şu kontrol listesine bakın:
- Aracı tümden kapatmak: TechZone, PowerShell ve Certutil'i birçok üçüncü taraf uygulamanın da kullandığını, kapatmanın ciddi kesinti yaratabileceğini belirtiyor; eylem düzeyinde kısıtı tercih edin.
- Geçici yetkiyi geri almamak: Bir görev için açılan PowerShell erişimi unutulursa yüzey büyür; PHASR kullanılmayan erişim için geri alma önerir.
- Varsayılan günlük ayarlarıyla yetinmek: Ortak rehber komut satırı, PowerShell ve WMI etkinliği için ayrıntılı ve merkezi günlük öneriyor; bkz. merkezi log yönetimi.
- Yok sayılan riski unutmak: Yok sayılan bulgu şirket risk puanından düşer; gerekçe ve gözden geçirme tarihi yazın.
- Bulut kimliğini açık bırakmak: Rehber Microsoft 365 için de güvenli yapılandırma taban çizgilerine işaret ediyor; bkz. Microsoft 365 güvenlik ayarları kontrol listesi.
Sık sorulan sorular
Saldırı yüzeyi azaltma antivirüsün yerini alır mı?
Hayır, birbirini tamamlar. Antivirüs ve EDR zararlı etkinliği tespit edip durdurur; saldırı yüzeyi azaltma ise saldırganın kullanabileceği araç, ayar ve açıkları baştan azaltır. Ortak LOTL rehberi de tespit ve sıkılaştırma önerilerini ayrı başlıklarda verir ve meşru araçların kötüye kullanımını yalnız tespitle ayırt etmenin zor olduğunu vurgular.
PHASR hangi GravityZone paketinde bulunuyor?
Bitdefender'ın ürün sayfasına göre PHASR; Business Security Enterprise, MDR teklifleri ve GravityZone Cloud MSP çözümlerine ek lisans olarak, ayrıca üçüncü taraf EDR/XDR araçlarıyla çalışan bağımsız bir ürün olarak sunuluyor. Mevcut lisansınıza eklemeyi konuşmak için Teklif Al formunu kullanabilirsiniz.
PHASR'ın öğrenme süresi ne kadar?
TechZone dokümanına göre öğrenme aşaması izlenen kurallara bağlı olarak 30–60 gün sürer. GravityZone EDR bileşeni kullanılıyorsa geçmiş veriyle bu süre birkaç dakikaya inebilir. Bağımsız (standalone) PHASR ajanında EDR geçmişi kullanılamadığı için süre bu yolla kısaltılamaz; pilot planınızı buna göre yapın.
Kısıtlama bir çalışanın işini engellerse ne olur?
Windows'ta kullanıcı, Request Access seçeneğiyle gerekçe yazarak erişim isteyebilir; talep yönetici onayına düşer. Autopilot modunda yönetici Eylül 2026'dan beri kısıtı elle geçersiz kılabilir: erişim beş gün açık kalır, araç bu sürede kullanılmazsa kısıt geri gelir. Pilot grupla başlamak bu talepleri erkenden görmenizi sağlar.
Living off the land saldırıları tamamen önlenebilir mi?
Ortak rehbere göre LOTL etkinliğini tamamen önleyen ya da tespit eden kusursuz bir çözüm yoktur. Önerilen yaklaşım katmanlıdır: ayrıntılı ve merkezi günlük, davranış taban çizgisi, uygulama izin listesi, ağ segmentasyonu ve oltalamaya dayanıklı çok faktörlü kimlik doğrulama. Saldırı yüzeyi azaltma bu katmanlardan biridir.
Uygulama izin listesi ile PHASR arasındaki fark nedir?
NIST SP 800-167'ye göre uygulama izin listesi, kurumda çalışmasına izin verilen uygulamaların listesidir ve bir uygulamanın çalışıp çalışmayacağına karar verir. PHASR ise izin verilen aracın içinde hangi eylemin hangi kullanıcıya açık olacağını davranışa göre belirler. Ortak rehber Windows için AppLocker ve Windows Defender Application Control'ü önerir; iki yaklaşım birlikte kullanılabilir.
Sonuç
- LOTL saldırıları meşru araçları kullandığı için yalnız tespitle yakalanması zordur; ortak rehber taban çizgisi ve izin listesini öncelikli sayar.
- GravityZone'da Risk Management yanlış yapılandırma ve açıkları, Patch Management yamaları, PHASR kullanıcıya özel araç kısıtlamasını üstlenir.
- PHASR'ı pilot grupta Direct Control ile başlatıp davranışı oturan kategorileri Autopilot'a almak iş kesintisi riskini düşürür.
- Bulguları etki, istismar kanıtı, yaygınlık ve kesinti riskine göre sıralayın; yok saymaları gerekçe ve tarihle kaydedin.
Sora Yazılım Teknolojileri, Bitdefender GravityZone çözümlerinde seçim, tedarik, kurulum, destek ve yönetilen hizmet sunar; sıkılaştırma çalışmasının kapsamı sözleşmede belirlenir. Ortamınızı birlikte değerlendirmek için ücretsiz keşif görüşmesi talep edebilirsiniz.
Ücretsiz keşif görüşmesi · WhatsApp: WhatsApp Destek · Telefon: +90 544 785 21 87 · E-posta: talep@sorayazilim.com
Kaynaklar
- Identifying and Mitigating Living Off the Land Techniques (ortak rehber) — CISA, NSA, FBI, ACSC, Canadian Centre for Cyber Security, NCSC-UK, NCSC-NZ ve diğerleri, 7 Şubat 2024. ncsc.govt.nz (erişim: 19 Ekim 2026)
- MITRE ATT&CK v20 teknik sayfaları — MITRE. T1218, T1059.001, T1047, T1197 (erişim: 19 Ekim 2026)
- CIS Critical Security Controls v8.1 — Center for Internet Security. cisecurity.org (erişim: 19 Ekim 2026)
- SP 800-167, Guide to Application Whitelisting — NIST, Ekim 2015. csrc.nist.gov (erişim: 19 Ekim 2026)
- Bitdefender TechZone makaleleri: PHASR, Risk Management, Endpoint Risk Management (erişim: 19 Ekim 2026)
- GravityZone PHASR ürün sayfası — Bitdefender. bitdefender.com (erişim: 19 Ekim 2026)
- PHASR basın duyuruları — Bitdefender, 23 Eylül 2024 ve 23 Nisan 2025 (erişim: 19 Ekim 2026)
- What's New in GravityZone September 2026 (v 6.77) — Bitdefender. bitdefender.com (erişim: 19 Ekim 2026)
- GravityZone Patch Management ve paket karşılaştırma sayfaları — Bitdefender (erişim: 19 Ekim 2026)
Bu içerik nasıl hazırlandı?
Hazırlayan: Sora Yazılım Ekibi. Bu içerik yapay zekâ desteğiyle hazırlandı; teknik bilgiler yazıda bağlantısı verilen üretici ve resmî kaynaklarla 19 Ekim 2026 itibarıyla karşılaştırıldı.
İlgili yazılar
- KOBİ Ofis BT Altyapısı Kurulum Rehberi — Ağ, telefon, e-posta ve uç nokta güvenliğini tek planda ele alan çatı yazı.
- Bitdefender GravityZone Paketleri Karşılaştırması — Kurum profiline göre paket seçimi.
- Microsoft 365 Güvenlik Ayarları Kontrol Listesi — Kimlik, cihaz ve e-posta tarafındaki sıkılaştırma.
- Microsoft 365 Business Basic, Standard ve Premium Farkı — Hangi paketin hangi ekibe uyduğu.
- Exchange Server Destek Sonu — Exchange Online ile Exchange SE arasında karar.
- Ruijie Reyee mi, RG Kurumsal Seri mi? — Ölçeğe göre ağ ürünü seçimi.
- Wi-Fi 7 Kurumsal Geçiş Rehberi — Geçişin hangi koşulda mantıklı olduğu.
- 3CX Santral Kurulum Seçenekleri — Bulut, şirket içi ve SIP trunk modelleri.
- 3CX ve Microsoft Teams Entegrasyonu — Teams'ten santral üzerinden arama.