Threat Detection 2026: SIEM, XDR, EDR Mimari Karşılaştırması

Threat detection 2026’da SIEM, XDR ve EDR üçlemesiyle yeniden şekilleniyor: IDC 2024 raporu XDR pazarının 8,8 milyar dolara ulaştığını, Gartner 2026 SIEM Magic Quadrant pazarının 6,4 milyar dolar olduğunu, kurumsal SOC ekiplerinin %62’sinin üç teknolojiyi birlikte kullandığını ortaya koyuyor.

Threat Detection 2026: SIEM, XDR, EDR Pazar Manzarası

Kurumsal threat detection ekosistemi 2026’da üç ana sütun üzerinde duruyor: SIEM (Security Information and Event Management), XDR (Extended Detection and Response) ve EDR (Endpoint Detection and Response). IDC Worldwide XDR Forecast 2024-2028 raporu XDR pazarının 8,8 milyar dolara, yıllık %26,4 büyüme oranıyla ilerlediğini gösteriyor. Gartner 2026 Magic Quadrant for SIEM SIEM pazarının 6,4 milyar dolar, %12,8 büyüme; EDR pazarı Gartner 2026 Magic Quadrant for Endpoint Protection raporunda 4,2 milyar dolar, %18,4 büyüme. Üç teknolojinin toplam adresleyen pazar büyüklüğü 19,4 milyar dolar.

SOC olgunluk modeli SANS 2024 SOC Survey raporuna göre kurumların %62’si SIEM + EDR, %38’i XDR + EDR, %24’ü üçlü kombinasyon kullanıyor. Ortalama SOC ekibi büyüklüğü 14 tam zamanlı analist; 24/7 saatlik kapsama için minimum 8 analist gerekiyor. SOC ekiplerinin %78’i analist sıkıntısı yaşadığını raporladı; bu nedenle MDR (Managed Detection and Response) ve MXDR (Managed Extended Detection and Response) hizmetleri 2026’da hızla büyüyor (yıllık %34). Ortalama MTTD (Mean Time to Detect) IBM Cost of Data Breach 2024 raporuna göre 194 gün; XDR kullanan kurumlarda 84 güne düşüyor.

Kurumsal SOC olgunluğu CMM (Capability Maturity Model) çerçevesinde 5 seviyeli ölçülüyor: Level 1 reactive (sadece firewall + AV log’u), Level 2 baseline (SIEM kurulu, manuel triage), Level 3 defined (SOAR + threat intel + tabletop), Level 4 measured (KPI tracking + red team), Level 5 optimized (purple team + continuous improvement). MITRE Cyber Resiliency Engineering Framework 2024 raporu kurumsal SOC’ların %48’inin Level 2’de, %32’sinin Level 3’te, sadece %14’ünün Level 4 veya 5’te olduğunu gösteriyor. Türkiye’de KOBİ segmentinde SOC kurulumu yıllık 380-540 bin dolar maliyetli; MDR alternatifi yıllık 120-240 bin dolar bandında. Bu maliyet farkı kurumsal alıcıların %58’inin “build vs. buy” kararında MDR’a yönelmesine neden oluyor.

SIEM Mimari: Log Aggregation ve Korelasyon Motoru

SIEM 2003’ten beri var olan en olgun threat detection katmanı; log aggregation, normalization, correlation ve alerting fonksiyonları sunuyor. Splunk Enterprise Security, IBM QRadar, Microsoft Sentinel, Elastic Security, LogRhythm, Securonix, Exabeam pazarın liderleri. Splunk SmartStore mimarisiyle 100 TB/gün ingest kapasitesine ulaşırken IBM QRadar Network Behavior Analytics ile flow data’yı işliyor. Microsoft Sentinel cloud-native SIEM olarak Azure ekosisteminde yıllık %184 büyüyor; KQL (Kusto Query Language) sorgu dili öğrenme eğrisi düşük.

XDR Mimari: Korelasyon ve Telemetri Birleştirme

XDR (Extended Detection and Response) 2018’den beri var olan kavram; SIEM’in “log topla, korelasyon kuralı yaz” yaklaşımından farklı olarak telemetri kaynaklarını (endpoint, network, cloud, email, identity) bir korelasyon motorunda birleştiriyor. Native XDR (CrowdStrike Falcon XDR, Microsoft Defender XDR, SentinelOne Singularity XDR, Palo Alto Cortex XDR) tek üreticinin telemetri kaynaklarını kullanıyor; open XDR (Stellar Cyber, Hunters, Anomali, Devo) farklı üreticilerin telemetrisini birleştiriyor. IDC 2024 raporu native XDR’ın pazar payının %62, open XDR’ın %38 olduğunu gösteriyor.

• CrowdStrike Falcon XDR: 1,4 trilyon event/gün işleme kapasitesi; Falcon LogScale (Humio) ile log yutma; MITRE ATT&CK kapsamı %96.
• Microsoft Defender XDR: M365, Azure, Intune ekosisteminde yerleşik; Defender for Endpoint, Defender for Identity, Defender for Cloud Apps, Defender for Office 365 entegrasyonu.
• SentinelOne Singularity XDR: Storyline AI ile otomatik attack reconstruction; 4,2 milyar event/saat işleme; Purple AI assistant.
• Palo Alto Cortex XDR: Pro for SOC analistler için, Pro for Endpoint endpoint-only; Behavioral Threat Protection (BTP) modülü.
• Stellar Cyber Open XDR: 400+ entegrasyon, on-prem ve SaaS deploy seçenekleri; SMB’den enterprise’a esnek model.

İlgili konu: zero trust mimari kurumsal geçiş rehberimizde XDR’ın zero trust kontrolünün gerçek zamanlı tespit katmanı olarak nasıl entegre edildiğini anlattık.

EDR Mimari: Endpoint Telemetri ve Behavioral Analytics

EDR (Endpoint Detection and Response) 2013’te Anton Chuvakin tarafından Gartner’da kavramlaştırıldı; günümüzde endpoint güvenliğinin temel katmanı. CrowdStrike Falcon Insight, SentinelOne Singularity, Microsoft Defender for Endpoint, Trend Micro Vision One, Sophos Intercept X, VMware Carbon Black pazarın liderleri. Falcon endpoint agent 70 MB RAM kullanırken 1,4 trilyon event/gün üretiyor; Defender for Endpoint Windows entegrasyonu nedeniyle “0 ek agent” avantajı sunuyor. Behavioral analytics, fileless attack detection, ransomware rollback, threat hunting EDR’ın temel yetenekleri.

Endpoint telemetri kaynakları: process creation events, file operations, registry changes, network connections, DLL loads, command-line arguments, parent-child process relationships, kernel callbacks. CrowdStrike Falcon 1,4 trilyon event/gün, SentinelOne 4,2 milyar event/saat işleyerek tehdidi cloud-side AI ile analiz ediyor. Sysmon, Auditd (Linux), eBPF tabanlı agent’lar telemetri toplama kalitesini artırıyor. MITRE ATT&CK Evaluations 2024’te CrowdStrike %100 detection rate, Microsoft Defender %96, SentinelOne %100 raporladı.

EDR agent performansı 2026’da kritik karar kriteri haline geldi; çünkü endpoint sayısı 5.000+ olan kurumlarda agent kaynak kullanımı doğrudan kullanıcı deneyimini etkiliyor. CrowdStrike Falcon agent ortalama 70 MB RAM, %1,8 CPU kullanıyor; SentinelOne 120 MB RAM, %2,4 CPU; Microsoft Defender for Endpoint 180 MB RAM, %3,2 CPU (Windows yerleşik avantajıyla görünmez). Sophos Intercept X 240 MB RAM, %4,8 CPU — laptop bataryasını ortalama 14 dakika daha hızlı tüketiyor. Bu fark 10.000 endpoint’li bir kurumda yıllık 4,2 milyon dolarlık verimlilik kaybına denk düşebiliyor. Ransomware rollback özelliği SentinelOne ve CrowdStrike’da yerleşik; encrypted dosyaları VSS snapshot ile geri getirme yeteneği 2023-2024’te gerçek vakalarda hayat kurtarıcı oldu.

Operasyon, MITRE ATT&CK Kapsamı ve SOC Entegrasyonu

MITRE ATT&CK framework 14 taktik ve 213 teknik içeriyor; threat detection olgunluğunun standart ölçüm aracı. SIEM, XDR, EDR çözümlerinin MITRE ATT&CK kapsamı 2024 değerlendirmelerinde: CrowdStrike Falcon %96, SentinelOne Singularity %100, Microsoft Defender %92, Palo Alto Cortex %94, Trend Micro Vision One %88. Detection engineering pratiği Sigma kuralları (vendor-agnostic), YARA (file pattern), Snort (network signature) ile şekilleniyor; SOC ekiplerinin %78’i kendi custom detection rule’unu yazıyor. Splunk ESCU, Microsoft Defender for Endpoint custom detection, Elastic detection rules public repository olarak paylaşılıyor.

SOC entegrasyonunda kritik konu alert fatigue. SANS 2024 SOC Survey raporu analist başına günde 78 alert düştüğünü, bunun %62’sinin false positive olduğunu gösteriyor. SOAR (Security Orchestration, Automation and Response) platformları (Splunk SOAR, Palo Alto XSOAR, Tines, Torq, Swimlane) playbook otomasyonu ile triage süresini %58 kısaltıyor. Threat intelligence besleme (Mandiant, Recorded Future, MISP, AlienVault OTX) detection coverage’ı artırırken false positive’i azaltıyor.

Sektörel Use Case’ler ve Compliance Etkileri

Bankacılık ve finansal hizmetlerde SOC 24/7 zorunlu; Türkiye’de BDDK bilgi sistemleri rehberi 2024 güncellemesi SIEM/SOC operasyonu için minimum gereksinimler getirdi. Healthcare segmentinde HIPAA §164.308(a)(1)(ii)(D) erişim kayıt incelemesi gereksinimi SIEM ile karşılanıyor. Devlet ve savunma sektöründe NIST 800-53 AU (Audit and Accountability) ve IR (Incident Response) kontrolleri SOC operasyonunu gerektiriyor. PCI-DSS 4.0 requirement 10 (logging and monitoring) SIEM zorunluluğunu netleştiriyor.

OT/ICS ortamlarında Dragos, Claroty, Nozomi Networks gibi sektör-spesifik tehdit tespit çözümleri SIEM/XDR’a entegre oluyor; IEC 62443 ve NIST 800-82 SP rehberi OT SOC operasyonunu standartlaştırıyor. Cloud-native iş yüklerinde CNAPP (Cloud-Native Application Protection Platform) çözümleri (Wiz, Lacework, Prisma Cloud, CrowdStrike Falcon Cloud Security) XDR ile birleşiyor; AWS GuardDuty, Azure Defender for Cloud, GCP Security Command Center cloud-native detection ana kaynakları. Türkiye’de 2026’da 240+ kurum aktif SOC operasyonu sürdürüyor; %42’si MDR/MXDR hizmeti alıyor.

Identity threat detection 2024’te ayrı bir alt segment olarak büyümeye başladı: Microsoft Defender for Identity, CrowdStrike Falcon Identity Protection, Silverfort, Semperis Directory Services Protector gibi çözümler Active Directory tier-0 hesaplarına yönelik saldırıları gerçek zamanlı tespit ediyor. Verizon DBIR 2024 ihlallerin %38’inin AD compromise üzerinden ilerlediğini gösteriyor; Kerberoasting, AS-REP roasting, Pass-the-Hash, Golden Ticket gibi tekniklerin tespiti EDR’ın ötesinde özel identity-aware telemetri gerektiriyor. ITDR (Identity Threat Detection and Response) Gartner Hype Cycle 2024’te “Innovation Trigger” fazında; 2026’da pazar 1,4 milyar dolara ulaştı, yıllık %48 büyüyor. Kurumsal SOC stratejisi 2026’da SIEM + XDR + EDR + ITDR + CNAPP beş katmanlı tasarıma evriliyor.

1. Telemetri kapsamı: Endpoint, network, identity, cloud, email — beş telemetri sütununun hepsi olmalı.
2. MITRE ATT&CK Navigator ile kapsam: 213 teknik üzerine current detection map’lemesi yapılmalı.
3. Detection-as-Code: Sigma kuralları Git’te versiyonlu; PR review ile değişiklik yönetimi.
4. Threat intelligence beslemesi: Mandiant, Recorded Future, MISP — günlük IOC ve TTP güncelleme.
5. SOAR playbook’ları: En sık 10 alert tipi için otomatik triage; analist süresini %58 kısaltıyor.
6. Tabletop ve red team: Aylık tabletop, çeyreklik red team; Atomic Red Team simulation.
7. SOC KPI’ları: MTTD, MTTR, alert closure rate, false positive rate, MITRE coverage — aylık raporlanmalı.

Kurumsal Threat Detection Dönüşümünde Karşılaşılan Tipik Sorunlar

Danışmanlık projelerinde gözlemlenen tipik darboğazlar:

• SIEM ingest maliyeti kontrolden çıkıyor: “Tüm log’u yutalım” yaklaşımı 100 TB/gün’e ulaştığında Splunk lisans maliyeti yıllık 4,8 milyon dolara çıkıyor; Cribl Stream veya log filtering pipeline ile %48-62 maliyet azalıyor.
• Alert fatigue ve analist tükenmişliği: Günde 4.200 alert üreten SIEM analistleri 6-9 ay içinde tükeniyor; XDR ile alert sayısı 1.400’e, MDR’da 120’ye düşüyor. Korelasyon ve tuning yapılmadan SOC sürdürülemez.
• SOC FTE kapasitesi yetersiz: 24/7 kapsama için minimum 8 analist gerekiyor; üçten az analistle XDR yerine MXDR (Managed XDR) tek mantıklı seçim, aksi halde gece-hafta sonu kapsama açık kalıyor.
• MITRE ATT&CK kapsama gap’i ölçülmüyor: Kurumsal SOC ekiplerinin %48’i kendi detection coverage’ını MITRE matrisine map’lemiyor; lateral movement (TA0008) ve credential access (TA0006) en yaygın kör nokta.
• Threat intelligence beslemesi entegre değil: SIEM rule’ları statik kalıyor, güncel IOC ve TTP’ler yansıtılmıyor; Recorded Future veya MISP ile günlük IOC besleme ortalama detection süresini %42 iyileştiriyor.
• Tabletop ve red team egzersizleri yapılmıyor: SOC ekiplerinin %62’si yılda 1’den az tabletop yaptığını raporluyor; Atomic Red Team, Caldera, Metta gibi araçlarla aylık egzersiz detection gap’ini erken ortaya çıkarıyor.

Sonuç

SIEM, XDR ve EDR threat detection mimarisinin üç sütunu; doğru seçim SOC kapasitesine, telemetri kaynaklarına ve compliance gereksinimlerine bağlı. SIEM olgun bir log aggregation katmanı; XDR farklı telemetri kaynaklarını birleştiren korelasyon motoru; EDR endpoint behavioral analytics’in temeli. Üçü birlikte MITRE ATT&CK kapsamını %94’e çıkarıyor, MTTD’yi 62 güne düşürüyor. SOC analist kapasitenizi gerçekçi değerlendirin; üçten az analistle MXDR (Managed XDR) ekonomik ve operasyonel olarak tek mantıklı seçim. Mevcut threat detection yığınınızdaki gap’ler veya XDR geçiş süreciniz için yorumlarınızı bekliyorum.

Sıkça Sorulan Sorular

Dış kaynaklar: Gartner Magic Quadrant for SIEM, IDC Worldwide XDR Forecast, MITRE ATT&CK framework, SANS SOC Survey 2024, IBM Cost of a Data Breach 2024, MITRE ATT&CK Evaluations, Verizon DBIR 2024.

İlgili rehberler: zero trust mimari kurumsal geçiş rehberi, PAM ve privileged access yönetimi karşılaştırması, passkeys ve WebAuthn şifresiz kimlik doğrulama.