October 31, 2026
Güvenlik Ürünü Kendini Koruyamazsa: Endpoint Central Ajanı ile Sorumlu İfşa Hikâyem
Self-Defense açıkken bile kaldırılabilen bir ajan, “Informative” olarak kapanan bir rapor ve sonunda gelen kernel seviyesinde koruma.
By Furkan Yasin Keskin
2 min read
Self-Defense açıkken bile kaldırılabilen bir ajan, "Informative" olarak kapanan bir rapor ve sonunda gelen kernel seviyesinde koruma.
Bir EDR, DLP ya da UEM ajanına güvenmemizin sebebi basit: makinede biz yokken o var. Ama çoğu zaman sorulmayan bir soru var: Ajanın kendisini kim koruyor?
Bu yazı, ManageEngine Endpoint Central ajanında bulduğum bir davranışın yaklaşık altı ay süren bildirim sürecini anlatıyor.
Ne buldum?
Endpoint Central Agent v11.4.2516.37.W üzerinde yaptığım testlerde, Self-Defense ve Uninstall Password Protection özellikleri aktif olmasına rağmen ajanın MSI ve kayıt defteri bileşenleri üzerinde yapılan müdahalelerle tamamen kaldırılabildiğini gördüm.
Yani ürünün "bu ajan kaldırılamaz" vaadi belirli koşullarda geçerli değildi. Ajan gidince onun üzerinden gelen yama yönetimi, uygulama kontrolü, cihaz kontrolü ve tarayıcı politikaları da gidiyordu.
Teknik adımları bilerek paylaşmıyorum; sorun güncel sürümlerde giderilmiş olsa da eski sürümde kalan ortamlar olabilir.
Bildirim süreci
Bulguyu Zoho'nun bug bounty programı üzerinden, sorumlu ifşa (responsible disclosure) başlığıyla raporladım.
Aralık 2025'te rapor triage aşamasına alındı ve CVSS skoru 7.7'den 4.4'e düşürüldü. Ardından en uzun süren kısım geldi: etkinin nasıl sınıflandırılacağı.
Vendor'ın bakış açısı şuydu: bu davranış için SYSTEM/Administrator yetkisi gerekiyor ve bu, programın kapsamı dışında. Microsoft'un servis kriterleri de admin ile kernel arasındaki sınırı bir güvenlik sınırı olarak kabul etmiyor.
Benim itirazım ise şuydu: mesele yetki yükseltmek değil, ürünün güvenlik garantilerinin dayandığı koruma mekanizmasını tamamen devre dışı bırakabilmek. Ürün zararlı yazılım, fidye yazılımı koruması ve DLP uygulamasını bu ajan üzerinden vaat ediyorsa, tamper koruması olmayan bir ajan bu kontrollerin etkinliğini doğrudan düşürür. Bu, MITRE ATT&CK'teki savunmaları zayıflatma ve iz silme tekniklerinin tam karşılığı. Fidye yazılımı operatörlerinin ilk yaptığı iş de genellikle güvenlik ajanlarını kapatmak.
Sonuç
Mayıs 2026'da gelen yanıtta rapor Informative olarak kaldı. Ama aynı yanıtta önemli bir bilgi vardı: ajana müdahaleye karşı kernel seviyesinde sürücü koruması eklenmişti. Geliştirme kademeli olarak dağıtılıyordu ve isteyen müşteriler konsoldan hemen etkinleştirebiliyordu.
Destek ekibi de 11.5.2605 sürümüne yükseltmenin sorunu tamamen giderdiğini, ek bir manuel işleme gerek olmadığını iletti.
Doğrulama
Bildirmek yetmez, doğrulamak gerekir. 11.5.2616.20.W ajan sürümünde aynı testleri tekrarladım: Agent Protection artık üçüncü taraf kaldırma ve müdahale girişimlerine karşı beklendiği gibi çalışıyor.
Bir şartla: korumanın tam devreye girmesi için ayarın açılması gerekiyor.
Agent Settings → Agent Protection Settings → Prevent Agent Data Tampering
Beni şaşırtan nokta
Bu kadar önemli bir self-protection geliştirmesinin sürüm notlarında açıkça olmaması ve/veya vurgulanmaması. Endpoint Central kullanan birçok kurum bu korumanın varlığından ve ayrıca etkinleştirilmesi gerektiğinden habersiz olabilir.
Endpoint Central kullananlar için kontrol listesi
- Ajan sürümünüzün 11.5.2605 veya üzeri olduğunu doğrulayın.
- Prevent Agent Uninstallation, Prevent Agent Termination ve Prevent Agent Data Tampering ayarlarının açık olduğunu kontrol edin.
- Kullanıcılarda yerel yönetici yetkisini mümkün olduğunca kaldırın. Kernel koruması iyi bir katman ama tek katman olmamalı.
- Konsolda iletişimi kesilen ajanlar için alarm kurun. Bir ajanın sessizce kaybolması başlı başına bir olaydır.
Son söz
Sezar'ın hakkı Sezar'a: rapor "Informative" kalsa da ManageEngine ekibi geri bildirimi ciddiye aldı, süreç boyunca iletişimde kaldı ve gerçek bir iyileştirme yayınladı.
Bazen en önemli güncelleme yeni bir özellik değil, güvenlik ürününün kendini koruyabilmeye başlamasıdır.