SentinelOne Singularity Platform: Yapay Zeka Güçlü XDR

18 Kasım 2025

Mimariden Yapay Zeka Güçlü XDR'a Kapsamlı Teknik Rehber

Hızlı Özet

• Otonom Mimari: Bulut bağlantısı olmasa dahi uç noktada karar verebilen yerel yapay zeka.
• Storyline™: Binlerce olaydan anlamlı bir saldırı hikayesi çıkaran patentli teknoloji.
• 1-Click Rollback: Fidye yazılımı hasarlarını saniyeler içinde geri alan VSS tabanlı kurtarma.
• Geniş Kapsam: Tek ajanda EPP, EDR, XDR ve Kimlik Güvenliği (ITDR) entegrasyonu.
• Performans: MITRE 2024 testlerinde %100 tespit ve sıfır gecikme skoru.

Giriş: Otonom Güvenliğin Yeni Paradigması

Modern siber güvenlik manzarasında kuruluşlar; uç nokta, bulut ve kimlik gibi çok sayıda saldırı yüzeyini hedef alan karmaşık tehditlerle mücadele etmektedir. SentinelOne Singularity Platformu, bu paradigmaya uygun olarak tüm bu katmanları tek bir otonom platform altında birleştiren, Gartner 2024 Magic Quadrant liderlerinden biridir.

Platform; uç nokta koruması (EPP), uç nokta tespiti ve yanıtı (EDR), genişletilmiş tespit ve yanıt (XDR) ile kimlik tabanlı tehdit tespiti ve yanıtı (ITDR) yeteneklerini tek bir mimaride sunar.

1. Platform Mimarisi ve Tek Ajan Gücü

SentinelOne'ın mimarisi "Tek Ajan, Çoklu Motor" prensibiyle tasarlanmıştır. Bu hafif ajan, işletim sistemi çekirdeği (kernel) seviyesinde çalışarak dosya sistemi, işlem ve bellek aktivitelerini gerçek zamanlı izler.

1.1. Kaynak Verimliliği

SentinelOne ajanı, uç nokta performansını etkilemeyecek şekilde optimize edilmiştir:

• CPU Kullanımı: %0–4 (Sadece tarama anında hafif yükselme)
• Bellek Kullanımı: ~20MB
• Disk Alanı: ~200MB

1.2. Otonom Karar Mekanizması

En kritik mimari özellik, tespit ve yanıt mantığının yerel olarak çalışabilmesidir. Ajan, bulut bağlantısı olmasa bile (çevrimdışı) yerleşik AI modelleri sayesinde tehditleri engelleyebilir. Bu özellik, izole ağlar veya OT/ICS sistemleri için hayati önem taşır.

2. Çok Katmanlı Tehdit Tespit Akışı

SentinelOne, bir dosyanın sisteme girişinden çalıştırılmasına kadar geçen süreci iki ana aşamada kontrol eder:

Aşama 1: Pre-Execution (Çalıştırma Öncesi) - Statik AI

Bir dosya diske yazıldığı (On-Write) anda devreye girer. İmza veya hash gerektirmeden, makine öğrenimi modelleri ile dosya yapısını analiz eder. Bilinen zararlı yazılımları ve ransomware varyantlarını dosya daha açılmadan engeller.

Aşama 2: On-Execution (Çalışma Anı) - Davranışsal AI

Dosya çalışmaya başladığı anda devreye girer. API çağrıları, ağ bağlantıları ve sistem değişikliklerini izler. Özellikle dosyasız (fileless) saldırıları, Living off the Land (LotL) tekniklerini ve sıfır-gün (0-day) istismarlarını tespit eder.

3. Patentli Teknolojiler: Storyline™ ve ActiveEDR

SentinelOne'ın en büyük fark yaratan teknolojisi Storyline™'dır.

• Otomatik Korelasyon: Her bir olay bir "Storyline ID" ile etiketlenir. Örneğin; bir Word belgesinin PowerShell tetiklemesi ve ardından bir DLL yüklemesi tek bir olay hikayesinde birleştirilir.
• Kök Neden Analizi (RCA): Analistler, binlerce ham log içinde kaybolmak yerine, saldırı zincirini en başından sonuna kadar tek bir görsel arayüzde görebilirler. Bu, müdahale süresini saniyeler mertebesine indirir.

4. Olay Yanıtı: Rollback ve Remediation

SentinelOne, saldırı sonrası sistemleri temiz bir duruma döndürmek için benzersiz bir yetenek sunar:

• One-Click Rollback: Özellikle fidye yazılımı saldırıları için tasarlanmıştır. Windows Volume Shadow Copy Service (VSS) altyapısını kullanarak, şifrelenmiş dosyaları tek bir tıklamayla saldırı öncesi temiz hallerine geri döndürür.
• Ajan Koruması (Tamper Protection): Gelişmiş saldırganların EDR ajanını kapatmasını engellemek için ajan servisleri şifreyle korunur ve çekirdek seviyesinde müdahalelere karşı direnç gösterir.

5. Genişletilmiş Görünürlük: Ranger ve Deep Visibility

5.1. Ranger® (Ağ Keşfi)

Ranger modülü, ajanları birer sensöre dönüştürür. Ağdaki yönetilmeyen cihazları (IoT, yazıcılar, misafir cihazlar) keşfeder ve görünürlük sağlar. Ayrıca bu cihazlara otomatik ajan dağıtımı yapılmasını tetikleyebilir.

5.2. Deep Visibility ve S1QL

Telemetri verileri bulutta saklanır ve S1QL diliyle sorgulanabilir. Örneğin, son 180 gün içinde belirli bir komutu çalıştıran süreçleri avlamak için:

SELECT Timestamp, DeviceName, ProcessName, CommandLine  
FROM ProcessActivities  
WHERE LOWER(CommandLine) LIKE '%net user%' AND Timestamp > NOW()-180d;

6. Otonom SOC: Purple AI ve STAR

• Purple AI: Üretken yapay zeka (GenAI) destekli bir güvenlik asistanıdır. Doğal dilde ("Son 24 saatteki PowerShell aktivitelerini özetle") gelen sorulara yanıt verir ve otomatik triyaj yapar.
• STAR (Storyline Active Response) Kuralları: Analistlerin özel sorgularını otonom dedektörlere dönüştürmesini sağlar. Belirli bir kural tetiklendiğinde cihazın otomatik izolasyonu gibi aksiyonlar atanabilir.

7. Lisanslama ve Paket Karşılaştırması

SentinelOne, farklı kurumsal ihtiyaçlara yönelik beş ana paket sunar:

8. Dağıtım ve Yönetim

• Esnek Kurulum: SaaS (Bulut), On-Prem (Yerinde) veya Hybrid (Hibrit) kurulum seçenekleri mevcuttur.
• Entegrasyon: Microsoft Intune, SCCM, GPO gibi araçlarla tam otomatize dağıtım desteklenir.
• Singularity Marketplace: 340'tan fazla API fonksiyonu ile ServiceNow, Splunk, Okta ve QRadar gibi 3. taraf çözümlerle tek tıkla entegrasyon sunar.

Sonuç: Stratejik Değer

SentinelOne Singularity Platformu, MITRE ATT&CK 2024 değerlendirmelerinde %100 tespit oranı ve sıfır gecikme ile teknolojik liderliğini kanıtlamıştır. Sektör ortalamasından %88 daha az gürültü (alarm) üreterek SOC ekiplerinin asıl tehditlere odaklanmasını sağlar.

Kurumlar için SentinelOne seçimi, sadece bir antivirüs değişikliği değil, yapay zeka hızında otonom bir savunma mimarisine geçiş yapmak anlamına gelir.