Deep Security / Server & Workload Protection

Trend Deep Security (üreticinin kurumsal güvenlik iş birimi 23 Mart 2026'dan bu yana TrendAI™ adıyla anılıyor; Deep Security ürün adı değişmedi), fiziksel sunucuları, VMware ve Hyper-V üzerindeki sanal makineleri ve AWS, Azure, Google Cloud üzerindeki bulut iş yüklerini tek ajan ve tek konsolla koruyan hibrit bulut iş yükü güvenliği platformudur. Host tabanlı saldırı önleme (IPS), sanal yamalama, dosya bütünlüğü izleme (FIM) ve log denetimi gibi sunucuya özgü kontrolleri bir araya getirir; hedefi, yama uygulanana kadar açık kalan pencerede sunucunun istismar edilmesini engellemektir.

Bu pencere ölçülebilir bir risktir. Verizon 2025 Veri İhlali Araştırmaları Raporu'na göre güvenlik açığı istismarı ilk erişim vektörü olarak bir yılda %34 büyüdü ve artık ihlallerin %20'sini oluşturuyor; aynı rapor çevre birimlerindeki açıkların yalnızca yaklaşık %54'ünün tam olarak kapatıldığını ve bu işlemin medyan 32 gün sürdüğünü ortaya koyuyor (Verizon DBIR, 2025). Bu ölçüm çevre birimlerine ait olsa da sunucu tarafında mekanizma aynıdır: yamanın yayımlanması ile fiilen uygulanabilmesi arasındaki gecikme, saldırganın çalıştığı zaman aralığıdır. Deep Security bu aralıkta açığı kapatmaz, istismar yolunu kapatır.

Trend Deep Security hangi koruma modüllerini içerir?

Resmî Deep Security 20 dokümantasyonu sekiz koruma modülü tanımlar: Intrusion Prevention, Anti-Malware, Firewall, Web Reputation, Integrity Monitoring, Log Inspection, Application Control ve Device Control (Deep Security 20 Help Center, 2024). Modüllerin tamamı aynı ajanın üzerinde çalışır; hangi modülün hangi sunucuda etkin olacağı politika seviyesinde belirlenir. Böylece bir web sunucusu ile bir veritabanı sunucusu aynı konsoldan, birbirinden bağımsız kural setleriyle yönetilebilir.

• Intrusion Prevention (host IPS): Bilinen açıklıkları, üretici yaması uygulanana kadar kural bazlı perdeler. Resmî dokümantasyon bu işlevi doğrudan sanal yamalama (virtual patching) olarak adlandırır.
• Anti-Malware: Sunucu üzerinde imza, davranış ve makine öğrenmesi tabanlı zararlı yazılım tespiti yapar.
• Firewall: Sunucu bazında durum bilgisi tutan (stateful) paket filtreleme sağlar; iş yükünü bulunduğu ağ segmentinden bağımsız olarak izole eder.
• Web Reputation: Sunucudan çıkan bağlantıların itibar kontrolünü yapar; komuta-kontrol trafiğinin dışarı çıkmasını zorlaştırır.
• Integrity Monitoring (FIM): Dosya, dizin, kayıt defteri ve servislerdeki yetkili ve yetkisiz tüm değişiklikleri izleyip alarm üretir.
• Log Inspection: Sistem loglarını toplayıp analiz eder ve PCI DSS ya da kurum içi gereksinimler için denetim kanıtı üretir.
• Application Control: Sunucudaki çalıştırılabilir dosyaların envanterini çıkarır, izin verilmeyen yazılımın çalışmasını engeller.
• Device Control: Sunuculara takılan çıkarılabilir medya ve çevre birimlerini kısıtlar.

Bu ayrım pratikte önemlidir: bütünlük izleme ve log denetimi, klasik bir sunucu antivirüsünün üretemeyeceği denetim kanıtı üretir. Resmî dokümantasyona göre Integrity Monitoring yalnızca saldırgan kaynaklı değil, yetkili değişiklikleri de kaydeder. Bu sayede değişiklik yönetimi süreciyle güvenlik telemetrisi aynı kayıt kümesi üzerinde karşılaştırılabilir; planlanmamış bir müdahale, planlı bakım kayıtlarıyla eşleşmediği anda fark edilir.

Sanal yamalama nedir, gerçek yamanın yerini tutar mı?

Hayır — sanal yamalama yamanın yerine geçmez, yama takvimini uygulanabilir kılar. Saldırı önleme modülü, açıklığın istismar edildiği ağ desenini veya çağrı yolunu kural düzeyinde bloklar; açık sunucuda durmaya devam eder ancak istismar edilemez hale gelir. Bu, kesinti penceresi bulunamayan sistemler, uygulama uyumluluğu nedeniyle güncellenemeyen sunucular ve üreticinin artık yama yayımlamadığı destek dışı işletim sistemleri için çoğu zaman tek uygulanabilir teknik kontroldür.

İş gerekçesi doğrudan uyum mevzuatından gelir. PCI DSS v4.0 Gereksinim 6.3.3, kritik veya yüksek önemdeki güvenlik yamalarının yayımlanmasından itibaren bir ay içinde kurulmasını şart koşar (PCI Security Standards Council, 2022). Bir aylık pencereyi yalnızca değişiklik yönetimiyle tutturamayan kurumlar için sanal yamalama, o pencerede riski taşınabilir seviyeye indiren ara kontroldür.

Kural setinin arkasındaki istihbarat kaynağı Trend'in Zero Day Initiative (ZDI) programıdır. ZDI, 2007'den bu yana 15.000'den fazla güvenlik açığını koordineli biçimde ifşa ettiğini belirtiyor; programa 14 küresel tehdit merkezindeki araştırma ekiplerinin yanı sıra 19.000'den fazla bağımsız araştırmacı katkı veriyor (Zero Day Initiative, 2026). Omdia'nın "Quantifying the Public Vulnerability Market: 2025 Edition" araştırmasına göre Trend, 2024 takvim yılında küresel olarak ifşa edilen açıkların %73'ünü tek başına bildirdi (Zero Day Initiative / Omdia Research, 2024 verisi).

Kritik ayrıntı ZDI'nin ifşa politikasındadır: politika üreticiye yama için standart 120 günlük süre tanır, ancak koruma filtrelerinin üreticiye bildirimle eş zamanlı olarak Trend müşterilerine dağıtılabileceğini açıkça yazar (ZDI Disclosure Policy, 2026). Sanal yamalamanın üretici yamasından önce devreye girmesinin resmî dayanağı budur. Aynı istihbarat zinciri sayesinde TippingPoint ağ IPS müşterileri, resmî veri sayfasına göre 2023'te yayımlanan 1.211'den fazla açık üzerinden, üretici yaması yayımlanmadan ortalama 96 gün önce korunuyor (TippingPoint TXE Series veri sayfası, 2025).

Bu önceliğin fidye yazılımı tarafındaki karşılığı da ölçülmüştür. Trend'in 2025 Cyber Risk Report'una göre 2020'den bu yana fidye yazılımı saldırılarında 59 sıfırıncı gün açığı kullanıldı; 2020 öncesinde fidye yazılımı gruplarının sıfırıncı gün açığı kullanması son derece nadirdi (Trend 2025 Cyber Risk Report). Sıfırıncı gün istismarının fidye yazılımı ekonomisine girmesi, korumanın üretici yamasından önce devreye girmesini isteğe bağlı bir iyileştirme olmaktan çıkarıp temel gereksinim hâline getiriyor.

Deep Security hangi sanallaştırma ve bulut ortamlarında çalışır?

Deep Security hem ajanlı hem — belirli koşullarda — ajansız çalışır. VMware NSX ortamında Deep Security Virtual Appliance kullanıldığında anti-malware, bütünlük izleme, güvenlik duvarı, saldırı önleme ve web itibarı modülleri ajansız (agentless) çalışabilir; daha eski vShield ortamında ajansız kapsam yalnızca anti-malware ve bütünlük izleme ile sınırlıdır (Deep Security 20 Help Center, 2024). Yoğun sanal makine barındıran veri merkezlerinde bu, her VM'e ajan kurmadan koruma sağlamanın yoludur; şablondan üretilen kısa ömürlü makinelerde ajan yaşam döngüsü yönetme yükü de ortadan kalkar.

Bulut tarafında Deep Security Agent; Amazon AWS, Google Cloud Platform ve Microsoft Azure üzerinde çalışan desteklenen platformlara tam destekle kurulabilir (Deep Security Agent platforms, 2024). Envanter yönetimi bağlayıcılarla otomatikleşir: Deep Security Manager'a AWS hesabı eklendiğinde tüm EC2 ve WorkSpaces örnekleri, GCP hesabı eklendiğinde tüm GCP VM örnekleri konsola aktarılır; Azure bağlayıcısı VM envanterini 10 dakikada bir eşitler (Deep Security 20 Help Center, 2024). Otomatik ölçeklenen bulut ortamlarında yeni ayağa kalkan sunucunun politikasız kalmaması bu mekanizmaya bağlıdır.

Konteyner tarafında kapsamı olduğundan geniş göstermiyoruz. Resmî ajan uyumluluk dokümantasyonu, Linux dağıtımlarında Docker host ve konteyner desteğini tanımlar. Küme düzeyinde Kubernetes koruması — kayıt defteri imaj taraması, admission control, pod düzeyi politika — güncel Deep Security 20 LTS dokümantasyonunda beyan edilmediği için bu kapsamı ayrı bir bileşen olarak, Trend Vision One platformu tarafındaki konteyner güvenliği modülüyle konumlandırıyoruz. EKS, AKS veya GKE üzerinde çalışan bir mimariniz varsa kapsamı proje başında yazılı olarak netleştiriyoruz.

PCI DSS ve KVKK denetimlerinde Deep Security ne sağlar?

Deep Security'nin uyum değeri tek bir maddeyi kapatmak değil, birden fazla gereksinim için hem teknik kontrol hem denetlenebilir kanıt üretmektir. PCI DSS v4.0 Gereksinim 11.5.1, saldırı tespit ve/veya önleme tekniklerinin kart verisi ortamının (CDE) çevresinde ve içindeki kritik noktalarda tüm trafiği izlemesini, imza ve taban setlerinin güncel tutulmasını zorunlu kılar; 11.5.1.1 ise hizmet sağlayıcılar için gizli kötü amaçlı iletişim kanallarının tespitini 31 Mart 2025'ten itibaren zorunlu hale getirmiştir. Gereksinim 11.5.2, dosya bütünlüğü izleme gibi bir değişiklik tespit mekanizmasının kurulmasını ve kritik dosya karşılaştırmalarının en az haftada bir yapılmasını şart koşar (PCI Security Standards Council, 2022).

Sıkça karşılaştığımız bir yanlış anlamayı da düzeltmek gerekir: sanal yamalama PCI DSS'te "onaylı bir telafi edici kontrol" değildir. PCI SSC hiçbir dokümanında belirli bir teknolojiyi telafi edici kontrol olarak onaylamaz; standardın Ek B'si yalnızca meşru ve belgelenmiş teknik veya iş kısıtı bulunan kurumların Telafi Edici Kontrol Çalışma Sayfası (CCW) doldurarak bu yola başvurabileceğini söyler ve kabul kararı tamamen QSA değerlendirmesine bağlıdır. Doğru çerçeve şudur: saldırı önleme zaten 11.5.1'in, dosya bütünlüğü izleme ise 11.5.2'nin doğrudan gereksinimidir. Telafi edici kontrol tartışması yalnızca 6.3.3'ün bir aylık yama penceresi tutturulamadığında gündeme gelir; o durumda da gerekçeyi kurumun kendisi belgelemek zorundadır.

KVKK tarafında dayanak, 6698 sayılı Kanun'un 12. maddesidir: veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almakla yükümlüdür (KVKK, 2016). Kurumun Kişisel Veri Güvenliği Rehberi'ndeki Tablo 4.1 Teknik Tedbirler Özet Tablosu'nda saldırı tespit ve önleme sistemleri, log kayıtları, güvenlik duvarları ve güncel anti-virüs sistemleri açıkça sayılır; aynı rehber yama yönetimi ve yazılım güncellemelerini olası güvenlik açıklarının kapatılması için gerekli unsurlardan biri olarak tanımlar (KVKK Kişisel Veri Güvenliği Rehberi). Deep Security'nin sunucu katmanında karşıladığı kalemler bunlardır.

Rehber ayrıca "kişisel veri güvenliğinin sağlanması için tek bir siber güvenlik ürünü kullanımı ile tam güvenliğin sağlanabileceği görüşü her zaman doğru değildir" diyerek katmanlı ve düzenli olarak kontrol edilen tamamlayıcı tedbirleri tavsiye eder. Bu nedenle Deep Security'yi tek başına değil, uç nokta, ağ ve e-posta katmanlarıyla birlikte, Trend Micro çözüm ailesinin bütünü içinde konumlandırıyoruz. Avrupa tarafında da benzer bir düzenleyici baskı var: ENISA Threat Landscape 2025'e göre AB'de analiz edilen olayların %53,7'si NIS2 Direktifi kapsamındaki temel kuruluşları ilgilendiriyor ve en çok hedef alınan sektör %38,2 ile kamu yönetimi (ENISA, 2025).

Deep Security ile Apex One ve TippingPoint arasındaki fark nedir?

Üçü farklı katmanları korur ve birbirinin yerine geçmez. Deep Security sunucu ve iş yükü katmanında, Apex One uç nokta koruması kullanıcı cihazları katmanında, TippingPoint ise ağ segmentinde satır içi (inline) çalışır. Sunucularda uç nokta ajanı kullanmanın tipik sorunu, sunucuya özgü kontrollerin — bütünlük izleme, log denetimi, sunucu bazlı güvenlik duvarı ve sanal yamalama — eksik kalmasıdır; Deep Security tam olarak bu boşluğu doldurur.

Ağ katmanında derin görünürlük ihtiyacı varsa mimari Deep Discovery ağ tespiti ve sandbox analizi ile tamamlanır; çevre güvenlik duvarı katmanını farklı bir üreticiyle yürüten kurumlarda mevcut güvenlik duvarıyla birlikte çalışan bir tasarım kurgulanabilir. Deep Security'nin host üzerindeki konumu, doğu-batı trafiğinde ağ cihazının göremediği sunucu içi olayları da kayıt altına almasını sağlar — şifreli iç trafikte bu fark belirleyici olur.

Deep Security, Trend Vision One XDR ile nasıl birleşir?

Deep Security kendi konsoluyla bağımsız çalışabilir, ancak telemetrisi XDR korelasyonuna verildiğinde değeri artar. Trend Vision One; uç nokta, bulut, e-posta, ağ, sunucu ve kimlik olmak üzere altı yerel güvenlik sensörüne sahiptir (Trend Micro Newsroom, 2025). Sunucu sensörü sayesinde bir kimlik avı e-postasıyla başlayan zincirin uç noktadan sunucuya sıçraması tek bir olay grafiğinde görülebilir. Aksi halde sunucudaki IPS engellemesi ile uç noktadaki şüpheli süreç, ayrı ayrı incelenen ve çoğu zaman ilişkilendirilemeyen iki uyarı olarak kalır.

Log tarafında Vision One'ın Agentic SIEM bileşeni 1 Ağustos 2025'te kullanıma sunuldu, 900'den fazla veri kaynağını destekliyor ve 2 yıla kadar analitik, 7 yıla kadar arşiv veri saklama sunuyor (Trend Micro Newsroom, 2025). Uzun süreli denetim kanıtı tutması gereken kurumlarda, Deep Security log denetimi çıktılarının nereye yazılacağı — kurumun kendi SIEM'i mi, Vision One tarafı mı — bir mimari karar olarak proje başında verilmelidir. Sunucu katmanında bağımsız bir denetim izi tutmanın bir gerekçesi de tedarik zinciri riskidir: Verizon 2025 DBIR'a göre üçüncü tarafın karıştığı ihlallerin oranı bir yılda ikiye katlanarak %15'ten %30'a yükseldi (Verizon DBIR, 2025). Bakım veya destek amacıyla sunucuya erişen dış tedarikçinin yaptığı değişikliklerin bütünlük izleme ve log denetimi kayıtlarında görünmesi, olay sonrası incelemenin dayanağıdır.

Trend Deep Security lisanslaması nasıl işliyor ve nereden alınır?

Lisanslama; korunan sunucu ve iş yükü sayısı, etkinleştirilen modül seti ve sözleşme süresi üzerinden kurgulanır. Şirket içi Deep Security kurulumu ile bulut tarafındaki Workload Security aboneliği farklı ticari modellerle sunulur. Bu sayfada fiyat yayımlamıyoruz; doğru rakam ancak envanter (fiziksel sunucu, sanal makine, bulut örneği), modül kapsamı ve destek seviyesi netleştikten sonra çıkar. Ortamınızın envanterini birlikte çıkaralım ve teklif isteyin — ölçüm yapılmadan verilen rakam yanıltıcı olur.

Sora Yazılım, Trend Micro yetkili kanal partneri olarak lisanslama, kurulum, KVKK uyumlu yönetim ve olay müdahale hizmetini birlikte sağlıyor. Üretici tarafındaki küresel destek kapasitesi 75 ülkede 6.000 TrendAI uzmanına dayanıyor (Trend Micro Newsroom, 2026). Ürün adlandırmaları Mart 2026 marka geçişiyle güncellendiği için sözleşmelerde hangi SKU'nun hangi modülü kapsadığını yazılı olarak teyit ediyoruz; modül kapsamı sonradan sürpriz olmamalıdır.

Devreye alma süreci nasıl ilerliyor?

Süreci dört adımda yürütüyoruz. Birinci adımda envanter ve kapsam çıkarılır: hangi sunucular kart verisi ortamında, hangileri destek dışı işletim sistemi çalıştırıyor, hangileri uygulama sertifikasyonu nedeniyle yamalanamıyor. İkinci adımda sınırlı bir pilot grupta ajan kurulumu yapılır ve IPS kuralları önce yalnızca tespit modunda çalıştırılır; üretim trafiğinde yanlış pozitif üretmeyeceği doğrulanmadan hiçbir kural bloklama moduna alınmaz. Üçüncü adımda politika setleri sunucu rolüne göre ayrıştırılır. Dördüncü adımda log denetimi çıktıları SIEM'e yönlendirilir ve denetim raporlaması otomatikleştirilir.

Bulut ve hibrit mimarilerde kurulumu DevOps ve altyapı hizmetlerimiz kapsamında otomasyonla yürütüyoruz: ajan kurulumu makine imajına veya yapılandırma yönetimi araçlarına gömülür, böylece otomatik ölçeklenen gruplarda yeni açılan sunucu politikasız kalmaz. Donanım yenileme gerektiren projelerde HP sunucu çözümleri tarafındaki kapasite planlamasıyla birlikte ilerliyoruz. Fidye yazılımı senaryosunda geri dönüş tarafını güçlendirmek için Acronis Cyber Protect yedekleme ile bütünleşik bir plan öneriyoruz; koruma katmanı ile kurtarma katmanı ayrı ayrı test edilmelidir.

Özet: Trend Deep Security, sunucu iş yüklerinde host IPS ve sanal yamalamayla yama penceresini yönetilebilir kılar, dosya bütünlüğü izleme ve log denetimiyle PCI DSS ile KVKK denetimlerine kanıt üretir, VMware NSX'te ajansız ve AWS/Azure/GCP'de ajanlı olarak aynı politika mantığını uygular. Sunucu envanterinizi, uyum kapsamınızı ve yamalanamayan sistemlerinizi birlikte değerlendirip modül bazında bir kapsam ve lisans planı çıkaralım: iletişim formundan teklif isteyin, teknik ekibimiz envanter çalışmasıyla başlasın.