EDR/XDR Karşılaştırması: CrowdStrike, SentinelOne, Microsoft Defender, Sophos, ESET ve Wazuh

Kaynaklar: CrowdStrike resmî fiyat sayfası (erişim 09.08.2026); SentinelOne resmî paket/fiyat sayfası (erişim 09.08.2026); Microsoft Defender for Business resmî sayfası ve Microsoft Defender fiyat sayfası (erişim 09.08.2026); Sophos Endpoint resmî ürün sayfası; ESET iş çözümleri ve ESET PROTECT Elite sayfası; Wazuh Cloud fiyat sayfası (erişim 09.08.2026) ve Wazuh GitHub deposu (GPLv2); MITRE ATT&CK Evaluations; AV-Comparatives Business Security Test H1 2026.

Bağımsız test sonuçları nasıl okunur?

Uç nokta pazarında iki bağımsız referans öne çıkıyor ve ikisi de birbirinden farklı soruya cevap veriyor. MITRE ATT&CK Evaluations, gerçek saldırı gruplarının teknikleri adım adım uygulanırken ürünün ne gördüğünü ve ne engellediğini kanıtlarıyla yayımlar. 2025 Enterprise turunun sonuçları 11 Aralık 2025'te yayımlandı; turda Acronis, AhnLab, CrowdStrike, Cyberani, Cybereason, Cynet, ESET, Sophos, Trend Micro, WatchGuard ve WithSecure yer aldı. Senaryolar Scattered Spider ve Mustang Panda gruplarından esinlendi; Scattered Spider senaryosu ilk kez bulut altyapısını, tur ise ilk kez saldırgan keşif (reconnaissance) faaliyetlerinin tespitini kapsadı. Microsoft, Palo Alto Networks ve SentinelOne bu tura katılmadıklarını, programın kaynak yoğun bir taahhüt gerektirdiğini belirterek duyurdu (SecurityWeek, Aralık 2025; evals.mitre.org). Kritik nokta şu: MITRE satıcıları sıralamaz ve kazanan ilan etmez — yayımladığı şey, sizin kendi senaryonuza göre yorumlamanız gereken ham kanıttır.

AV-Comparatives ise farklı bir soruyu ölçer: ürün, gerçek dünyadaki zararlıları günlük kullanımda ne oranda durduruyor ve kaç yanlış alarm üretiyor? Kuruluşun Mart–Haziran 2026 dönemini kapsayan Business Security Test'inde Windows 11 üzerinde 16 kurumsal ürün test edildi; listede CrowdStrike Falcon Enterprise, ESET PROTECT Entry (PROTECT Cloud ile), Microsoft Defender Antivirus (MEM ile) ve Sophos Intercept X Advanced da vardı. Mart–Nisan ara sonuçlarında gerçek dünya koruma testinde Bitdefender ve Elastic %100, Avast, ESET ve Norton %99,5, Microsoft ve VIPRE %99,0 oranına ulaştı; zararlı koruma testinde Elastic %100, Avast ve Norton %99,8, CrowdStrike %99,7 sonucunu aldı ve test edilen ürünlerin tamamı yaygın iş yazılımlarında sıfır yanlış alarm verdi (AV-Comparatives faktsayfası, 2026). Bu tablodaki farklar yüzdelik olarak küçüktür; bir alım kararını tek başına taşıyacak kadar büyük değildir. Asıl bilgi, ürünün böyle bir teste girip girmediği ve yanlış alarm davranışıdır — çünkü operasyonel acıyı üreten şey kaçırılan zararlıdan çok, her gün ekibi meşgul eden yanlış alarmdır.

Bir sonraki tur da planlı: MITRE, Enterprise 2026 turunda tespit ve engelleme kalitesini tek bir karşılaştırılabilir ölçüte indiren Total Evaluation Score (TES) çerçevesini devreye alacağını duyurdu (ATT&CK Evaluations Enterprise 2026 katılım çağrısı). Şartname yazıyorsanız "bağımsız testlere katılım" maddesini bir puan kriteri olarak koymak makul; ancak "X testinde birinci olmak" gibi bir madde yazmayın — bu, hem test kuruluşlarının metodolojisine aykırıdır hem de rekabeti gereksiz daraltır.

Seçeneklerin güçlü ve zayıf yönleri

CrowdStrike Falcon

Güçlü: Fiyatını kamuya açık yayımlayan az sayıdaki kurumsal uç nokta üreticisinden biri; Go, Pro ve Enterprise katmanları için hem aylık hem yıllık tutarlar resmî sayfada duruyor (Enterprise $19,99/ay veya $184,99/yıl, erişim 09.08.2026). Bu, küçük ve orta ölçekli kurumlar için teklif beklemeden bütçe kurma imkânı demektir. Bulut-yerlisi mimari donanım ve sunucu bakımı gerektirmez; Falcon Complete MDR ile ürünü tümüyle yönetilen hizmete çevirebilirsiniz. MITRE'nin 2025 Enterprise turuna katılan üreticilerden biri olduğu için davranışını resmî sonuç sayfasından inceleyebilirsiniz. Zayıf: Katman farkları belirgindir — Go paketi 100 cihazla sınırlıdır ve ihtiyacınız büyüdükçe üst katmana geçiş maliyeti sıçrar; MDR ve ek modüller teklif usulüdür, yani asıl fatura yine görüşmede belirlenir. Telemetri üreticinin bulutunda işlenir; veri konumunun sözleşmede netleştirilmesi gerekir.

SentinelOne Singularity

Güçlü: Paket fiyatlarını resmî sayfasında yayımlar: Core $69,99/yıl, Complete $179,99/yıl, Commercial $229,99/yıl (5–100 iş istasyonu aralığı için gösterilen tutarlar, erişim 09.08.2026). Katmanlar arasındaki fark net tanımlıdır — üst paketlerde kimlik tespiti, uzun veri saklama ve yönetilen tehdit avcılığı gelir. Uç nokta üzerinde otonom davranan bir mimari sunması, ağ bağlantısı kesildiğinde de koruma iddiası taşıyan senaryolarda tercih sebebi olur. Zayıf: MITRE'nin 2025 Enterprise turuna katılmadı; bu, ürünün zayıf olduğu anlamına gelmez ama en güncel bağımsız senaryo verisini bu turdan alamayacağınız anlamına gelir — karar için kendi ortamınızda PoC yapmak daha da önemli hâle gelir. Kurumsal katman yine teklif usulüdür ve veri saklama süresi (14 gün / 90 gün gibi) paket seçimini doğrudan etkiler; adli inceleme ihtiyacınız varsa bu ayrıntı fiyatı belirler.

Microsoft Defender for Endpoint

Güçlü: Ekonomik olarak zor yarışılan bir konumu var, çünkü çoğu kurumda ürün zaten ödenen lisansın içindedir. Küçük kurumlar için Defender for Business kullanıcı başına aylık $3,00 (yıllık ödemeli, 300 kullanıcıya kadar, kullanıcı başına 5 cihaz) ile listelenir; daha geniş kapsam için Microsoft Defender Suite kullanıcı başına aylık $12,00 (yıllık, Microsoft 365 E3 tabanı gerektirir) veya Microsoft 365 E5 $60,00 kullanıcı/ay olarak resmî sayfada yayımlanır (erişim 09.08.2026). Ajan işletim sistemine gömülü olduğu için dağıtım eforu düşüktür; Intune/MEM ile politika yönetimi tek yerden yürür ve AV-Comparatives testine giren ürünlerden biridir. Zayıf: Değer önerisi Microsoft ekosistemine bağlıdır — macOS/Linux ağırlıklı ya da Google Workspace kullanan bir kurumda avantajın önemli kısmı kaybolur. Lisanslama karmaşıktır: P1/P2 ayrımı, sunucu lisansının ayrı olması ve paketlere gömülü haklar, gerçek maliyeti ancak lisans uzmanıyla çıkarılabilir hâle getirir; P1/P2 tek başına liste fiyatı incelediğimiz resmî sayfalarda yayımlanmadığı için tabloda "—" bıraktık. Microsoft, MITRE'nin 2025 Enterprise turuna katılmadı.

Sophos

Güçlü: Küçük BT ekipleri için tasarlanmış bir operasyon deneyimi sunar; Sophos Central tek konsoldan uç nokta, sunucu ve diğer Sophos ürünlerini yönetir. Resmî ürün sayfasında "Sophos Endpoint" birleşik koruma + EDR çözümü olarak konumlanır ve Sophos MDR ile 7/24 tespit, uzman tehdit avcılığı ve olay müdahalesi hizmete devredilebilir — SOC'u olmayan kurumlar için pratik bir cevap. MITRE'nin 2025 Enterprise turuna katıldı ve AV-Comparatives H1 2026 testinde Intercept X Advanced ile yer aldı. Zayıf: Resmî sayfalarda kamuya açık liste fiyatı yayımlanmaz; bütçeyi ancak iş ortağından teklif alarak kurabilirsiniz — bu, karşılaştırmayı zorlaştırır ve pazarlığa daha çok hazırlık gerektirir. Ürün adlandırması yıllar içinde değişti (Intercept X markası ile Sophos Endpoint adlandırması bir arada anılıyor); şartname yazarken adı resmî ürün sayfasından teyit edin.

ESET PROTECT

Güçlü: Paket mantığı sade ve kademeli: PROTECT Entry, Advanced, Complete, Elite ve MDR. XDR yeteneği resmî olarak "Extended Detection & Response" modülü adıyla üst paketlerde gelir; Elite paketi çok katmanlı korumayı XDR ve çok faktörlü kimlik doğrulama ile birleştirir. Resmî iş çözümleri sayfası 100 cihaza kadar olan kurumlar için doğrudan bir "Buy online" bağlantısı sunar — KOBİ için tedarik sürtünmesi düşüktür. MITRE'nin 2025 turuna katıldı ve AV-Comparatives Mart–Nisan 2026 gerçek dünya koruma testinde %99,5 oranıyla listelendi. Zayıf: Ürün sayfalarında sabit bir liste fiyatı yayımlanmaz; bütçeyi ancak çevrimiçi satın alma akışından ya da iş ortağı teklifinden çıkarabilirsiniz. Yenileme dönemi fiyatını ve katman geçiş koşullarını sözleşmede yazılı olarak sabitlemek gerekir; Elite ve MDR katmanları teklif usulüdür.

Wazuh (açık kaynak)

Güçlü: GPLv2 lisansıyla tamamen ücretsizdir ve kendi tanımıyla "uç noktalar ve bulut iş yükleri için birleşik XDR ve SIEM" sağlar; ajan sayısı için lisans sınırı yoktur. Tek platformda tehdit tespiti, dosya bütünlüğü izleme, zafiyet değerlendirmesi, aktif müdahale ve uyumluluk raporlaması gelir; kaynak kodu açık olduğu için denetlenebilir ve şirket içi kurulum veri egemenliğini tam sağlar. Bütçesi kısıtlı kamu birimleri ve teknoloji ekibi güçlü KOBİ'ler için gerçekçi bir başlangıç noktasıdır; isterseniz yönetilen Wazuh Cloud'a (Small $571/ay'dan başlayan kademeler, erişim 09.08.2026) geçebilirsiniz. Zayıf: Ticari ürünlerin getirdiği hazır davranışsal tespit içerikleri, üretici tehdit istihbaratı ve engelleme motorunun bağımsız testlerde doğrulanmış olması burada yoktur; kural yazma, ayarlama ve nöbet tamamen sizin ekibinize kalır. MITRE ve AV-Comparatives turlarında yer almadığı için karşılaştırılabilir bağımsız veri de bulunmaz — değerlendirmeyi kendi ortamınızda yapmanız gerekir.

Dürüst bir not: ürün kararı, mimari kararının yerine geçmez

Uç nokta güvenliğinde en pahalı hata, ürünü alıp mimariyi kurmamaktır. Ajan kurulur, konsol açılır, alarmlar akmaya başlar ve altı ay sonra kimse konsola bakmadığı için sistem sessizce ölür. Bunu engelleyen şey ürün değil, dört yazılı karardır: hangi olay hangi önceliğe düşer, kim ne zaman bakar, hangi aksiyonu kim onaysız alabilir, olaydan sonra hangi rapor kime gider. Bu kurgu olmadığında en iyi EDR de bir log deposudur. Biz Yazılım Koçu olarak bu üreticilerin hiçbirinin bayisi veya iş ortağı değiliz; ürün satmıyoruz. Yaptığımız iş, uç nokta güvenliği mimarisini ve şartnamesini kurgulamak, ürün-bağımsız olay toplama ve zenginleştirme katmanı geliştirmek ve kurumun kendi süreçlerine oturan müdahale otomasyonu yazmak. Hazır ürün ihtiyacınızı karşılıyorsa doğrusu onu almaktır — özel geliştirme, ancak hazır ürünlerin kapsamadığı bir boşluk kaldığında anlamlıdır ve bunu size açıkça söyleriz.

Hangi durumda hangisi?

• Microsoft 365 E3/E5 kullanan kurum: Önce elinizdeki lisansın neyi zaten kapsadığını çıkarın. Çoğu durumda Defender for Endpoint yeni bir satın alma değil, açılması gereken bir yetenektir; yeni bir ürün almadan önce mevcut hakların envanterini yapmak yılda altı haneli tasarruf üretebilir.
• 50–300 cihazlı, 1-3 kişilik BT ekibi olan KOBİ: Kamuya açık fiyatlı seçenekler (CrowdStrike Go/Pro, SentinelOne Core/Complete, Defender for Business) ile teklif usulü çalışan seçenekleri (Sophos, ESET) aynı cihaz sayısı üzerinden yarıştırın; kararın belirleyicisi büyük olasılıkla ürün değil, MDR'li toplam paket olacaktır.
• 7/24 nöbet tutacak ekip yoksa: Ürünü değil, hizmeti satın alın. Falcon Complete, Sophos MDR, ESET PROTECT MDR ve Microsoft Defender Experts aynı ihtiyacı farklı sözleşme yapılarıyla karşılar; teklifleri karşılaştırırken müdahale SLA'sını, sağlayıcının onaysız alabileceği aksiyonları ve olay raporu formatını yazılı isteyin.
• Veri kurum dışına çıkamıyorsa (kamu, savunma, kritik altyapı): Telemetrinin nereye gittiğini her aday için ayrı ayrı yazdırın. Şirket içi kurulumla tam kontrol isteyen senaryolarda Wazuh kısa listeye girer; ticari ürünlerde ise bölgesel veri işleme ve saklama maddelerini sözleşmeye koyun.
• Lisans bütçesi yok, mühendis var: Wazuh ile başlayıp süreçleri oturtmak, iki yıl sonra gerekirse ticari ürüne geçmek meşru bir stratejidir. Olay toplama katmanını ürün-bağımsız kurarsanız geçiş maliyeti düşer — bu, SIEM tarafındaki kararınızla da doğrudan bağlantılıdır.
• Şartname yazıyorsanız: Marka tarif etmeyin. "Bağımsız bir test programına (ör. MITRE ATT&CK Evaluations veya AV-Comparatives Business Security Test) son 24 ay içinde katılmış olmak" ölçülebilir ve rekabeti daraltmayan bir kriterdir; "birinci olmak" değildir.

Uç nokta kararı tek başına yaşamaz: olay verisinin nereye akacağı SIEM & SOC tarafında, bütünsel mimari ise kurumsal siber güvenlik sayfamızda şartname maddeleriyle birlikte ele alınıyor.