Defender for Endpoint Plan 2 Nedir?
Microsoft Defender for Endpoint Plan 2 (MDE P2), kurumsal cihazları (Windows, macOS, Linux, iOS, Android) ileri düzey siber tehditlerden koruyan EDR (Endpoint Detection and Response) ve XDR çözümüdür. Geleneksel anti-virus'ten farkı: sadece bilinen virüsleri engellemiyor, davranış analitiğiyle yeni türde saldırıları (ransomware, APT, fileless malware) tespit edip otomatik olarak müdahale ediyor.
Plan 1 ile Plan 2 Farkı
Eğer şirketinizde basit anti-malware koruması yeterli olmayan bir senaryo varsa Plan 2'ye geçmek şart. Plan 1 sadece "tehdidi engellemekle" sınırlı; Plan 2 ise "ne oldu, kim açtı, nereye yayıldı, geri al" sürecini de kapsar.
| Özellik | Plan 1 | Plan 2 |
|---|
| Anti-malware (EPP) | ✓ | ✓ |
| Attack Surface Reduction (ASR) | ✓ | ✓ |
| EDR: saldırı sonrası analiz | - | ✓ |
| Otomatik Araştırma + Yanıt (AIR) | - | ✓ |
| Threat & Vulnerability Management | - | ✓ |
| Microsoft Threat Experts (insan analist) | - | ✓ |
| Sandbox analizi (Detonation) | - | ✓ |
| Advanced Hunting (KQL sorgu) | - | ✓ |
Hangi Şirket için Mantıklı?
- Kurumsal şirketler (50+ kullanıcı): Bir saldırı ortalama maliyeti milyon dolarlar. EDR olmadan müdahale 10 kat uzar.
- Hassas veri işleyenler: Finans, sağlık, hukuk, kamu, KVKK Md.12 "veri güvenliği teknik tedbirleri" kapsamında EDR önerilir.
- Uzaktan/hibrit çalışan ekipler: Cihaz şirket ağında değilken bile koruma + telemetri.
- Devam eden bir incident'tan sonra: Saldırıya uğramış ve tekrar olmasını istemiyorsanız EDR şart.
EDR'nin Pratik Faydası: Gerçek Senaryo
Bir çalışan phishing maili açtı, şüpheli .docm dosyası indirdi ve makro etkinleştirdi. Plan 2 ile:
- 0. saniye: Defender davranışı tespit eder (PowerShell encoded command + dış IP'ye veri sızdırma denemesi)
- 5. saniye: Otomatik araştırma başlar (AIR): saldırı zincirinin kapsamı çıkarılır
- 30. saniye: Etkilenen dosyalar karantinaya alınır, kullanıcı oturumu sınırlandırılır
- 2 dakika: Aynı org içinde başka cihazlarda yayılım var mı taranır
- 5 dakika: IT yöneticisine olay raporu mail atılır + Microsoft 365 Defender konsolunda zaman çizelgesi grafiği
Plan 1 ile: dosya engellenir ama "ne oldu, kim açtı, ne kadar yayıldı" sorusu cevapsız kalır.
Microsoft 365 E5 ile Karşılaştırma
Defender for Endpoint Plan 2, Microsoft 365 E5 paketinin parçasıdır (E5 alıyorsanız ayrıca Plan 2 almanıza gerek yok). Sadece EDR almak isteyen E3 müşterileri veya Business Premium kullanıcıları için "add-on" olarak satılır.
Lisans + Kurulum
- Cihaz başına lisanslama: Kullanıcı başına değil, cihaz başına ödeme. Çalışanın 2 cihazı varsa 2 lisans.
- Kurulum: Defender otomatik dağıtım: Intune varsa cihazlara push edilir, yoksa group policy ile.
- Onboarding: Tek kullanıcılı pilot test ile başlamak önerilir, 30 günde tüm filoya yayılım.