Network DLP’nin Ötesinde Veri Güvenliği: DDR - DLP’siz DDR Olur mu?

DDR Nedir ve Veri Güvenliğinde Neyi Değiştiriyor?

Veri güvenliği dünyasında uzun yıllardır en çok duyduğumuz üç harften biri DLP oldu.

Data Loss Prevention çözümleri; hassas verilerin kurum dışına çıkmasını engellemek, belirlenen politikaları uygulamak ve veri kaybı risklerini azaltmak amacıyla birçok kurumun güvenlik mimarisinde önemli bir yer edindi.

Peki DLP kullanıyoruz diye verilerimiz gerçekten güvende mi?

Daha da önemlisi:

Bir saldırgan veriyi dışarı çıkarmadan önce içeride günlerce dolaşıyor, hassas dosyaları keşfediyor, erişim yetkilerini kullanıyor ve verileri hazırlıyorsa bunu ne kadar erken fark edebiliyoruz?

İşte veri güvenliği dünyasında giderek daha fazla konuşulan DDR – Data Detection & Response yaklaşımı tam olarak bu sorunun etrafında şekilleniyor.

Ve doğal olarak yeni bir tartışmayı beraberinde getiriyor:

DLP’siz DDR olur mu?

Kısa cevap:

Evet, olabilir.

Ancak DDR ile DLP'yi birbirinin alternatifi olarak görmek yerine, farklı problemlere odaklanan ve birlikte kullanıldığında daha güçlü bir veri güvenliği mimarisi oluşturan iki yaklaşım olarak değerlendirmek çok daha doğru.

Önce Temelden Başlayalım: DDR Nedir?

DDR – Data Detection & Response, Türkçeye en basit haliyle Veri Algılama ve Müdahale olarak çevrilebilir.

DDR'ın temel amacı yalnızca verinin kurum dışına çıkmasını engellemek değildir.

Asıl amaç verinin etrafında gerçekleşen aktiviteleri anlayabilmek ve riskli davranışları mümkün olduğunca erken tespit edebilmektir.

DDR yaklaşımı temel olarak şu soruların peşinden gider:

Veri nerede?

Bu veriye kim erişiyor?

Kullanıcı normalde bu veriye erişiyor mu?

Veri üzerinde hangi işlemler gerçekleştiriliyor?

Veri hangi sistemler arasında hareket ediyor?

Bu davranış normal mi, yoksa potansiyel bir güvenlik olayının işareti mi?

Riskli bir hareket tespit edildiğinde ne yapmalıyız?

Bu nedenle DDR'ı yalnızca bir veri sınıflandırma veya veri kaybı önleme teknolojisi olarak düşünmemek gerekiyor.

DDR'ın merkezinde veri + davranış + bağlam + tespit + müdahale bulunuyor.

DLP Ne Yapıyor, DDR Neyi Değiştiriyor?

Burada en önemli ayrımı yapmak gerekiyor.

Klasik DLP yaklaşımında temel soru çoğunlukla şöyledir:

“Bu veri buradan çıkabilir mi?”

Örneğin şirket politikası gereği kredi kartı bilgileri e-posta üzerinden gönderilemesin.

Belirli gizlilik derecesindeki bir doküman USB belleğe kopyalanamasın.

Kişisel veri içeren bir dosya yetkisiz bulut depolama servisine yüklenemesin.

DLP sistemi politikayı bilir ve ihlal gerçekleştiğinde bunu engellemeye veya raporlamaya çalışır.

DDR ise farklı bir soru sorar:

“Bu verinin etrafında şu anda ne oluyor?”

Bu küçük gibi görünen fark aslında yaklaşımı ciddi biçimde değiştiriyor.

Çünkü modern saldırılarda veri ihlali her zaman tek bir olaydan oluşmuyor.

Saldırgan önce sisteme giriyor.

Sonra kullanıcı hesaplarını ele geçiriyor.

Yetkileri araştırıyor.

Dosya sunucularını tarıyor.

Veritabanlarını keşfediyor.

Hassas verileri buluyor.

Verileri topluyor.

Bazen sıkıştırıyor.

Bazen farklı bir sisteme taşıyor.

Ve en sonunda kurum dışına çıkarmaya çalışıyor.

DLP çoğunlukla bu zincirin kritik kontrol noktalarında devreye girerken DDR yaklaşımı veri etrafındaki davranış zincirini daha erken anlamaya çalışıyor.

Bir Örnekle Anlatalım

Bir finans departmanı çalışanının normalde her gün 20-30 müşteri kaydına eriştiğini düşünelim.

Bir gece bu kullanıcı hesabı:

5.000 müşteri kaydını sorgulamaya başlıyor.

Ardından farklı departmanlara ait dosyalara erişiyor.

Normalde kullanmadığı bir sunucuya bağlanıyor.

Çok sayıda dosyayı kısa süre içerisinde okuyor.

Sonrasında bu dosyaların bir bölümünü farklı bir dizinde toplamaya başlıyor.

Henüz veri şirket dışına çıkmamış olabilir.

Dolayısıyla klasik anlamda bir “data loss” gerçekleşmemiştir.

Ama güvenlik açısından ortada oldukça ciddi bir sinyal vardır.

DDR yaklaşımının değeri tam burada ortaya çıkar:

Veri kaybını beklemek yerine, veri etrafındaki anormal davranışı yakalamaya çalışmak.

DLP’siz DDR Olur mu?

Gelelim başlıktaki soruya.

Teknik olarak evet.

Bir DDR çözümünün çalışabilmesi için her durumda önünde klasik bir DLP ürününün bulunması zorunlu değildir.

DDR;

veri erişimlerini,

kullanıcı davranışlarını,

veri hareketlerini,

riskli aktiviteleri

ve çeşitli veri güvenliği sinyallerini analiz ederek bağımsız bir güvenlik katmanı oluşturabilir.

Ancak buradan:

“O halde DLP'ye artık gerek yok.”

sonucunu çıkarmak doğru olmaz.

Çünkü iki yaklaşımın güçlü olduğu alanlar farklıdır.

Basitleştirerek ifade edersek:

DLP: Önlemeye odaklanır.

DDR: Algılama ve müdahaleye odaklanır.

DLP belirli bir verinin belirli bir kanaldan çıkmasını engellemeye çalışırken DDR verinin etrafında gelişen riskli davranışı tespit etmeye ve güvenlik ekibinin olaya müdahale etmesini sağlamaya çalışır.

Bu nedenle asıl soru:

“DLP mi DDR mı?”

olmamalı.

Daha doğru soru:

“DLP ve DDR birlikte nasıl daha güçlü bir veri güvenliği mimarisi oluşturabilir?”

olmalı.

Neden Sadece DLP Artık Yeterli Görülmüyor?

Çünkü kurumların veri mimarisi tamamen değişti.

Eskiden verilerin büyük bölümü şirket içerisindeki belirli sistemlerde tutuluyordu.

Bugün ise veri her yerde.

Dosya sunucularında.

Veritabanlarında.

Çalışan bilgisayarlarında.

Microsoft 365 ortamlarında.

Google Workspace'te.

SaaS uygulamalarında.

Bulut depolama servislerinde.

AWS, Azure ve Google Cloud üzerinde.

API'lerde.

Data Lake ortamlarında.

Yedeklerde.

Yazılım geliştirme sistemlerinde.

Ve artık üretken yapay zekâ uygulamalarında.

Bu da veri güvenliğinin yalnızca ağın çıkış noktasında kontrol edilmesini giderek zorlaştırıyor.

Çünkü önce verinin nerede olduğunu bilmeniz gerekiyor.

Sonra kimin eriştiğini.

Ardından bu erişimin normal olup olmadığını.

Ve ancak bundan sonra doğru güvenlik kararını verebilirsiniz.

DDR'ın Gücü: Bağlam

Modern güvenlik sistemlerinde en değerli unsurlardan biri context, yani bağlamdır.

Örneğin bir kullanıcının bir dosyayı indirmesi tek başına saldırı göstergesi değildir.

Ama aynı kullanıcı;

normalde erişmediği bir dosyaya erişiyorsa,

gece 03.00'te işlem yapıyorsa,

kısa sürede binlerce dosya okuyorsa,

farklı sistemlerde sıra dışı aktiviteler gerçekleştiriyorsa,

ve ardından büyük miktarda veri taşımaya başlıyorsa...

Aynı işlem artık çok farklı görünür.

DDR'ın temel avantajlarından biri güvenlik ekiplerine bu bağlamı sağlamaya çalışmasıdır.

Amaç yalnızca:

“Dosya indirildi.”

demek değildir.

Asıl soru:

“Bu dosyanın bu kullanıcı tarafından, bu zamanda, bu yöntemle indirilmesi normal mi?”

olmalıdır.

DDR ve Insider Threat

DDR yaklaşımının önemli kullanım alanlarından biri de Insider Threat, yani iç tehditlerdir.

Her veri ihlali dışarıdaki bir hacker tarafından gerçekleştirilmez.

Bazen çalışan yanlışlıkla veri paylaşabilir.

Bazen yetkisini kötüye kullanabilir.

Bazen işten ayrılmadan önce çok sayıda kurumsal dosyayı indirebilir.

Bazen ele geçirilmiş çalışan hesabı saldırgan tarafından kullanılabilir.

Bu senaryoların tamamında kullanılan hesap teknik olarak “yetkili” olabilir.

İşte problem de burada başlar.

Firewall kullanıcıyı engellemeyebilir.

VPN bağlantısı normal görünebilir.

Kullanıcı adı ve parola doğru olabilir.

MFA bile başarıyla tamamlanmış olabilir.

Ancak kullanıcının veri üzerindeki davranışı normal değildir.

DDR'ın odaklandığı alanlardan biri tam olarak budur.

DDR ile EDR Arasında Bir Benzerlik Var mı?

Aslında DDR kavramını anlamanın en kolay yollarından biri EDR ile karşılaştırmak.

EDR – Endpoint Detection & Response ne yaptı?

Endpoint güvenliğini yalnızca:

“Zararlı dosyayı engelle.”

mantığından çıkardı.

Sistemde gerçekleşen davranışları izlemeye başladı.

Process oluşturuldu.

PowerShell çalıştı.

Credential erişimi gerçekleşti.

Şüpheli bağlantı kuruldu.

Persistence oluşturuldu.

EDR bunları ilişkilendirerek olayın bütününü anlamaya çalışıyor.

DDR da benzer bir düşünceyi veri merkezli olarak ele alıyor.

Basit bir ifadeyle:

EDR endpoint'te ne olduğunu anlamaya çalışır.

NDR ağda ne olduğunu anlamaya çalışır.

DDR ise verinin etrafında ne olduğunu anlamaya çalışır.

Bu nedenle DDR, modern Detection & Response mimarisinin veri tarafındaki önemli bileşenlerinden biri olarak değerlendirilebilir.

Peki DLP Nereye Gidiyor?

DLP'nin ortadan kalktığını düşünmek için hiçbir neden yok.

Tam tersine DLP hâlâ kritik bir güvenlik katmanı.

Özellikle;

e-posta,

web,

USB,

endpoint,

cloud uygulamaları

ve belirli veri aktarım kanallarında politika uygulanması gerektiğinde DLP önemli bir kontrol mekanizması olmaya devam ediyor.

Ancak veri güvenliği stratejisinin yalnızca DLP'den oluşması günümüz tehdit ortamında yeterli olmayabilir.

Çünkü saldırganın veriyi dışarı çıkarmasını beklemek yerine veriye yönelmeye başladığı anda davranışını görmek istiyoruz.

DDR'ın tamamlayıcı değeri burada ortaya çıkıyor.

DLP + DDR Birlikte Kullanıldığında Ne Olur?

İdeal senaryoda iki teknoloji birbirini tamamlar.

DDR riskli veri davranışını tespit eder.

Örneğin:

Bir kullanıcı alışılmadık miktarda hassas veriye erişiyor.

DDR bunu davranışsal risk olarak değerlendirebilir.

Ardından olay SOC veya SIEM ortamına taşınabilir.

Kullanıcının endpoint aktivitesi EDR/XDR üzerinden incelenebilir.

Kimlik hareketleri kontrol edilebilir.

DLP politikaları üzerinden belirli veri çıkış kanalları engellenebilir.

Böylece güvenlik mimarisi yalnızca:

“Veri çıktı mı?”

sorusuna değil;

“Veriye ne oluyor ve bunu nasıl durdurabiliriz?”

sorusuna cevap vermeye başlar.

Bu, veri güvenliğinin daha bütüncül hale gelmesi anlamına gelir.

DDR, SIEM ve SOC Birlikte Çalışmalı mı?

Kesinlikle.

Çünkü DDR'ın ürettiği sinyaller tek başına değerlendirilmek zorunda değil.

Bir kullanıcıdaki anormal veri erişimini düşünelim.

DDR:

“Bu kullanıcı çok fazla hassas veriye erişiyor.”

diyebilir.

EDR:

“Aynı kullanıcının bilgisayarında şüpheli PowerShell aktivitesi var.”

diyebilir.

Identity güvenliği:

“Kullanıcının hesabında olağan dışı oturum açma görüldü.”

diyebilir.

NDR:

“Bu cihazdan alışılmadık miktarda dış trafik çıkıyor.”

diyebilir.

SIEM bütün bu sinyalleri bir araya getirdiğinde artık elimizde tek bir alarm değil, potansiyel bir saldırı hikâyesi vardır.

İşte modern SOC operasyonlarının gücü burada ortaya çıkar:

Farklı güvenlik katmanlarından gelen sinyalleri tek bir olay bağlamında değerlendirmek.

Yapay Zekâ DDR'ı Nasıl Etkileyecek?

Veri güvenliğinin geleceğinde yapay zekânın önemli rol oynayacağını öngörmek zor değil.

Çünkü büyük kurumlarda milyarlarca veri erişim olayının manuel olarak analiz edilmesi mümkün değil.

AI ve davranış analitiği;

normal kullanıcı davranışlarını öğrenmek,

anormal erişimleri belirlemek,

riskli veri hareketlerini ilişkilendirmek,

false-positive oranını azaltmak

ve güvenlik ekiplerine daha anlamlı olaylar sunmak

için kullanılabilir.

Bu nedenle geleceğin veri güvenliği mimarisinde yalnızca statik politikaların değil, davranışsal ve bağlamsal analizin daha fazla önem kazanması beklenebilir.

DDR'ın Cevaplaması Gereken 5 Temel Soru

Bir DDR yaklaşımını değerlendirirken aslında beş basit soru sormak yeterli:

1. Veri nerede?

2. Veriye kim erişiyor?

3. Veri üzerinde ne yapılıyor?

4. Bu davranış normal mi?

5. Risk oluştuğunda ne yapıyoruz?

İlk dört soruyu cevaplayıp beşinci soruda hiçbir aksiyon üretemiyorsanız yalnızca görünürlük sağlamış olursunuz.

DDR'ın “Response” kısmı tam olarak burada önem kazanıyor.

Tespit edilen riskin güvenlik operasyonuna dönüştürülmesi gerekir.

Veri Güvenliğinde Yeni Denklem

Bugün veri güvenliği mimarisini tek bir ürün üzerinden değerlendirmek giderek zorlaşıyor.

DLP.

DDR.

DSPM.

DAM.

PAM.

SIEM.

SOAR.

EDR/XDR.

NDR.

Identity Security.

Bunların her biri problemin farklı bir bölümünü görüyor.

Asıl başarı bütün bu teknolojilerin doğru bağlam içerisinde birlikte çalıştırılmasında yatıyor.

Bu nedenle veri güvenliğinin yeni denklemini şöyle özetleyebiliriz:

Görmediğiniz veriyi koruyamazsınız.

Davranışı anlamadan riski anlayamazsınız.

Tespit ettiğiniz tehdide müdahale edemiyorsanız güvenlik zinciri tamamlanmaz.

SecureSys Değerlendirmesi: DLP'siz DDR Olur, Peki DDR'sız Veri Güvenliği?

DLP'siz DDR teknik olarak mümkündür.

Ancak konuya yalnızca ürün karşılaştırması olarak bakmak doğru yaklaşım olmayacaktır.

DLP ve DDR farklı güvenlik problemlerine cevap verir.

DLP'nin gücü politika uygulama ve veri kaybını önleme tarafındadır.

DDR'ın odağı ise veri etrafındaki davranışları tespit etmek, anlamlandırmak ve müdahaleye dönüştürmektir.

Dolayısıyla:

DLP → Önle

DDR → Algıla + Analiz Et + Müdahale Et

Modern veri güvenliği stratejisinde bunları birbirinin rakibi değil, birbirini tamamlayan güvenlik katmanları olarak değerlendirmek gerekir.

Çünkü saldırganların yöntemleri değişiyor.

Veri altyapıları değişiyor.

Bulut kullanımı artıyor.

SaaS büyüyor.

Yapay zekâ kurumların veri kullanım şeklini yeniden şekillendiriyor.

Ve tüm bunların sonucunda güvenliğin merkezine yeniden aynı şey geliyor:

VERİ.

Önümüzdeki dönemde kurumların yalnızca “veri dışarı çıkmasın” demesi yeterli olmayacak.

Yeni soru çok daha kapsamlı:

Verimiz nerede, kim kullanıyor, ne yapıyor ve riskli bir davranış başladığında bunu ne kadar hızlı fark edip müdahale edebiliyoruz?

İşte DDR'ın cevap vermeye çalıştığı soru tam olarak bu.

SecureSys | Data Security

SecureSys olarak veri güvenliğini yalnızca tek bir ürün veya teknoloji üzerinden değil; DLP, DDR, DAM, PAM, SIEM/SOAR, EDR/XDR, NDR ve 7x24 SOC bileşenlerini kapsayan bütünleşik bir güvenlik mimarisi olarak değerlendiriyoruz.

Veriyi sadece kaybolduğu anda değil, risk başladığı anda korumak gerekir.