Endpoint Güvenlik Yazılımlarında Agent İçin Exclusion Yapılandırması

Endpoint Security & Agent Compatibility

Uç nokta güvenlik yazılımları (antivirüs / endpoint protection), sistem üzerindeki çalışan servisleri, dosya erişimlerini ve davranışları sürekli olarak analiz eder. Agent tabanlı izleme ve kayıt sistemlerinin kararlı çalışabilmesi için bu yazılımlarda exclusion (hariç tutma) tanımı yapılması zorunludur.

Agent mimarisi; arka planda çalışan servisler, dosya sistemi erişimleri ve sürekli event üretimi nedeniyle bazı güvenlik motorları tarafından yanlış pozitif (false positive) olarak algılanabilir.

Exclusion Neden Gereklidir?

Endpoint güvenlik yazılımları; davranış analizi (behavior analysis), bellek erişimi (memory access), dosya izleme (file system monitoring) ve network aktivitelerini eş zamanlı kontrol eder.

Agent yazılımları da benzer seviyede sistem çağrıları kullandığından, exclusion tanımı yapılmadığında:

• Agent servisleri durdurulabilir
• Çalışan process’ler sonlandırılabilir
• Log ve event kayıtları eksik oluşabilir
• Agent kendini otomatik olarak yeniden başlatamayabilir

Sadece EXE Neden Yeterli Değildir?

Exclusion yalnızca çalıştırılabilir dosya (.exe) üzerinden tanımlandığında, agent’ın kullandığı diğer bileşenler güvenlik motoru tarafından izlenmeye devam eder.

Bu nedenle exclusion mutlaka aşağıdaki kapsamda yapılmalıdır:

• Agent ana klasörü (kurulum dizini)
• Alt dizinler (logs, cache, data vb.)
• Çalışan servis process’leri
• Geçici çalışma dosyaları

Klasör bazlı exclusion yapılmadığında, dosya kilitlenmeleri ve performans sorunları oluşması kaçınılmazdır.

Merkezi ve Lokal Yönetilen Güvenlik Yazılımları

Bazı endpoint güvenlik çözümleri merkezi bir yönetim konsolu üzerinden, bazıları ise her bilgisayar üzerinden lokal olarak yönetilir.

Yönetim modeli ne olursa olsun, exclusion tanımı her uç nokta için geçerli olacak şekilde uygulanmalıdır. Merkezi yönetilen sistemlerde bu ayar policy üzerinden dağıtılmalı, lokal yönetilen sistemlerde ise manuel olarak tanımlanmalıdır.

Teknik Akış Şeması (Özet)

[Agent Process]
      |
      v
[Dosya / Event Üretimi]
      |
      v
[Endpoint Security Engine]
      |
      |-- Exclusion VAR --> Event Serbest
      |
      |-- Exclusion YOK --> Process Engelleme / Yavaşlatma
    

Uygulama Sonrası Beklenen Davranış

Doğru yapılandırılmış bir exclusion sonrası:

• Agent servisleri kesintisiz çalışır
• Event ve log kayıtları eksiksiz oluşur
• Performans kaybı yaşanmaz
• Yanlış pozitif engellemeler ortadan kalkar

Endpoint güvenlik yazılımına özel ayar ve arayüz farklılıkları olabilir. İlgili yazılımla ilgili teknik detaylar için üretici veya tedarikçi firma ile iletişime geçilmelidir.

Bu yapılandırmalarla ilgili belirsizlik yaşanan durumlarda teknik ekiplerimize danışılabilir.