Endpoint Security & Agent Compatibility
Uç nokta güvenlik yazılımları (antivirüs / endpoint protection),
sistem üzerindeki çalışan servisleri, dosya erişimlerini ve
davranışları sürekli olarak analiz eder.
Agent tabanlı izleme ve kayıt sistemlerinin
kararlı çalışabilmesi için bu yazılımlarda
exclusion (hariç tutma) tanımı yapılması zorunludur.
Agent mimarisi; arka planda çalışan servisler,
dosya sistemi erişimleri ve sürekli event üretimi
nedeniyle bazı güvenlik motorları tarafından
yanlış pozitif (false positive) olarak algılanabilir.
Exclusion Neden Gereklidir?
Endpoint güvenlik yazılımları;
davranış analizi (behavior analysis),
bellek erişimi (memory access),
dosya izleme (file system monitoring)
ve network aktivitelerini eş zamanlı kontrol eder.
Agent yazılımları da benzer seviyede sistem çağrıları
kullandığından, exclusion tanımı yapılmadığında:
- Agent servisleri durdurulabilir
- Çalışan process’ler sonlandırılabilir
- Log ve event kayıtları eksik oluşabilir
- Agent kendini otomatik olarak yeniden başlatamayabilir
Sadece EXE Neden Yeterli Değildir?
Exclusion yalnızca çalıştırılabilir dosya (.exe)
üzerinden tanımlandığında, agent’ın kullandığı
diğer bileşenler güvenlik motoru tarafından
izlenmeye devam eder.
Bu nedenle exclusion mutlaka aşağıdaki kapsamda yapılmalıdır:
- Agent ana klasörü (kurulum dizini)
- Alt dizinler (logs, cache, data vb.)
- Çalışan servis process’leri
- Geçici çalışma dosyaları
Klasör bazlı exclusion yapılmadığında,
dosya kilitlenmeleri ve performans sorunları
oluşması kaçınılmazdır.
Merkezi ve Lokal Yönetilen Güvenlik Yazılımları
Bazı endpoint güvenlik çözümleri
merkezi bir yönetim konsolu üzerinden,
bazıları ise her bilgisayar üzerinden
lokal olarak yönetilir.
Yönetim modeli ne olursa olsun,
exclusion tanımı her uç nokta için geçerli
olacak şekilde uygulanmalıdır.
Merkezi yönetilen sistemlerde bu ayar
policy üzerinden dağıtılmalı,
lokal yönetilen sistemlerde ise
manuel olarak tanımlanmalıdır.
Teknik Akış Şeması (Özet)
[Agent Process]
|
v
[Dosya / Event Üretimi]
|
v
[Endpoint Security Engine]
|
|-- Exclusion VAR --> Event Serbest
|
|-- Exclusion YOK --> Process Engelleme / Yavaşlatma
Uygulama Sonrası Beklenen Davranış
Doğru yapılandırılmış bir exclusion sonrası:
- Agent servisleri kesintisiz çalışır
- Event ve log kayıtları eksiksiz oluşur
- Performans kaybı yaşanmaz
- Yanlış pozitif engellemeler ortadan kalkar
Endpoint güvenlik yazılımına özel
ayar ve arayüz farklılıkları olabilir.
İlgili yazılımla ilgili teknik detaylar için
üretici veya tedarikçi firma ile iletişime geçilmelidir.
Bu yapılandırmalarla ilgili
belirsizlik yaşanan durumlarda
teknik ekiplerimize danışılabilir.