AI Dönüşüm Görüşmesi

rehber · EDR/XDR

EDR/XDR istisna (exclusion) yönetiminde AI ajanının rolü ve riskleri

İstisnalar performans ve uyumluluk sorunlarını çözer ama koruma boşluğu da yaratır. AI ajanının istisna yönetimindeki güvenli rolünü anlatıyoruz.

Yazar: Confidenya EkibiGüncelleme: 3 dk okuma

Öne çıkanlar

  • Klasör ve uzantı tabanlı geniş istisnalar en yüksek riski taşır.
  • İstisna önerisi; kapsam, gerekçe, sahip ve bitiş tarihi içermelidir.
  • AI ajanı istisna eklememeli; talebi analiz edip dar bir öneri hazırlamalıdır.
  • Mevcut istisnaların düzenli denetimi, yeni talepler kadar önemlidir.

EDR ve XDR çözümlerinde istisnalar (exclusion, allow list) belirli dosya, klasör, süreç veya davranışların taranmasını ya da tespitini devre dışı bırakır. Uygulama uyumsuzlukları, performans sorunları veya yanlış pozitifler için gereklidirler. Ancak her istisna bir koruma boşluğudur ve saldırganlar bilinen istisna yollarını kötüye kullanmaya çalışır. Bu nedenle istisna yönetimi, AI ajanına devredilecek işler arasında en dikkatli tasarlanması gerekenlerdendir.

İstisna türleri ve risk düzeyleri

Yol ve klasör istisnaları

Belirli bir klasörün taranmaması. Klasöre yazma yetkisi olan herhangi bir kullanıcı veya süreç, oraya bıraktığı dosyanın taranmamasını sağlayabilir. Özellikle geçici klasörler, kullanıcı profili altındaki dizinler veya joker karakter içeren yollar yüksek risklidir.

Uzantı istisnaları

Belirli dosya uzantılarının taranmaması. Uzantı kolayca değiştirilebildiği için genellikle önerilmez.

Süreç istisnaları

Belirli bir sürecin açtığı dosyaların veya sürecin davranışının izlenmemesi. Süreç adına göre tanımlanırsa, aynı adı taşıyan zararlı bir yürütülebilir dosya da istisnadan yararlanabilir. Tam yol, imza (yayıncı sertifikası) veya hash ile tanımlamak daha güvenlidir.

Hash ve sertifika tabanlı istisnalar

Belirli bir dosya hash'ine veya imzalayan sertifikaya güvenilmesi. Hash istisnası çok dardır ama her güncellemede yenilenmesi gerekir; sertifika istisnası daha kalıcıdır ancak o sertifikayla imzalanmış her şeyi kapsar.

Davranış veya kural istisnaları

Belirli bir tespit kuralının belirli koşullarda tetiklenmemesi. Doğru tasarlandığında taramanın tamamen kapatılmasından daha dar bir etkiye sahiptir.

AI ajanının güvenli rolü

İstisna yönetiminde ajanın görevi istisna eklemek değil, talebi analiz edip insan onayına hazır, olabildiğince dar bir öneri üretmektir. Tipik akış:

  1. Talep gelir: "X uygulaması yavaş çalışıyor, EDR'yi bu klasör için kapatın".
  2. Ajan, ilgili cihazlardaki EDR telemetrisini ve performans kayıtlarını inceler; hangi süreç ve dosya işlemlerinin taramayı tetiklediğini belirler.
  3. Ajan, klasör istisnası yerine daha dar alternatifler önerir: imzalı uygulama süreci için süreç istisnası, belirli bir tespit kuralı için koşullu istisna veya yalnızca belirli cihaz grubuyla sınırlı kapsam.
  4. Öneri; kapsam, gerekçe, risk değerlendirmesi, talep sahibi ve bitiş veya gözden geçirme tarihiyle birlikte onay kuyruğuna gönderilir.
  5. Onaylayan kişi kabul ederse istisna onaylı değişiklik olarak uygulanır ve denetim izine işlenir.

Riskler

Talep metniyle yönlendirme

İstisna talepleri serbest metin içerir. Kötü niyetli bir talep, ajanı geniş bir istisna önermeye ikna etmeye çalışabilir. Bu nedenle ajanın istisnayı uygulama yetkisi olmamalı ve geniş istisna kalıpları (joker karakterli yollar, uzantılar, kullanıcı yazılabilir dizinler) için sabit, ajan dışında uygulanan kurallar tanımlanmalıdır.

Kalıcılaşan geçici istisnalar

Sorun giderme için eklenen istisnalar sıklıkla unutulur. Her istisnanın bitiş tarihi olmalı ve ajan, süresi yaklaşan istisnaları sahiplerine hatırlatmalıdır.

İstisna yetkisinin kendisi

İstisna ekleme yetkisi, EDR'yi etkisiz hale getirebilecek bir yetkidir. Ajanın servis hesabının bu yetkiye sahip olmaması, en az yetki ilkesinin doğal sonucudur.

Mevcut istisnaların denetimi

Birçok ortamda en büyük risk yeni talepler değil, yıllar içinde birikmiş istisnalardır. Ajan, tüm istisnaları dışa aktarıp şu kriterlere göre sınıflandırabilir: geniş yol veya uzantı istisnası mı, kullanıcı yazılabilir bir dizini kapsıyor mu, sahibi ve gerekçesi kayıtlı mı, ilgili uygulama hâlâ kullanılıyor mu. Sonuç, kaldırma veya daraltma önerileri içeren bir rapordur; uygulama yine onay akışından geçer.

Sık sorulan sorular

AI ajanı EDR'de istisna ekleyebilmeli mi?

Önerilen yaklaşım hayır. Ajan öneri hazırlar, istisna insan onayıyla ve tercihen ajanın sahip olmadığı bir yetkiyle uygulanır.

En güvenli istisna türü hangisidir?

Duruma göre değişir; genel olarak hash, imza veya belirli kural koşulu gibi dar tanımlı istisnalar, klasör ve uzantı istisnalarından daha az risk taşır.

İstisnalar ne sıklıkla gözden geçirilmeli?

Kurumun risk iştahına göre belirlenmelidir; önemli olan her istisnanın bir gözden geçirme tarihinin olması ve bunun takip edilmesidir.

İlgili çözümler

İlgili rehberler

confidenya

Bu adımları kendi ortamınızda planlayalım

Hiçbir değişiklik insan onayı olmadan canlıya alınmaz. Güvenlik ürünlerinizin yönetimini AI ajanlarına kademeli ve denetlenebilir şekilde devretmek için ekibimizle görüşün.

Ekibimizle görüşün

Bu içerik genel bilgilendirme amaçlıdır. Kurumunuza özel kararlar için uzman değerlendirmesi önerilir.