Windows Server 2008 R2’de Defender Alarmı: Yanlış Pozitif Uyarı IT Ekiplerini Tedirgin Etti
Microsoft Defender for Endpoint kullanan kurumlar için dikkat çekici bir gelişme yaşandı. Özellikle Windows Server 2008 R2 kullanan sistemlerde, yüksek öneme sahip bir güvenlik uyarısının aslında yanlış pozitif (false positive) olduğu ortaya çıktı.
“Memory’de Sensör Manipülasyonu” Uyarısı
14 Nisan 2026 tarihinde bazı sistem yöneticileri, SOC (Security Operations Center) tarafında şu uyarıyla karşılaştı:
“Possible sensor tampering in memory”
Bu uyarı:
- High severity (yüksek önem) seviyesinde
- Aynı anda birden fazla sunucuda görüldü
- İlk bakışta ciddi bir saldırı izlenimi yarattı
Bu durum, bellek üzerinde çalışan güvenlik sensörlerinin manipüle edildiği anlamına gelebileceği için ekipleri alarma geçirdi.
Yapılan Analiz: Gerçek Bir Saldırı Yok
Detaylı inceleme sonucunda olayın aslında bir saldırı olmadığı anlaşıldı.
- Defender bileşenlerinden MpDefenderCoreService.exe,
- Yine Defender’a ait MsSense.exe ile iletişim kurarken
CreateRemoteThreadçağrısı gerçekleştiriyor
Bu tamamen normal bir davranış olmasına rağmen, Defender bunu yanlış yorumladı.
Ayrıca:
- Trafik yalnızca Microsoft altyapısına gidiyor
- Payload, standart Defender “heartbeat” iletişimi
- VirusTotal analizinde 0/72 tehdit tespiti
Sorun Sadece Eski Sistemlerde
En dikkat çekici nokta:
Bu uyarı sadece Windows Server 2008 R2 sistemlerde görüldü
Daha yeni Windows sürümlerinde aynı problem yaşanmadı
Bu da sorunun:
- Eski işletim sistemi
- Güncel Defender bileşenleri
arasındaki uyumsuzluktan kaynaklandığını gösteriyor.
Alert ile Defender Heartbeat Birebir Örtüşüyor
Yapılan ileri analizlerde:
- Defender’ın SenseCM.exe check-in (heartbeat) zamanları incelendi
- Alert’lerin tam olarak bu zamanlarla aynı saniyede oluştuğu görüldü
Örnek:
- Bir sunucuda her 87-88 dakikada bir
- Diğerinde 92-93 dakikada bir
aynı alert tetikleniyor. Bu da olayın sistematik bir false positive olduğunu net şekilde ortaya koyuyor.
Microsoft Tarafı Ne Diyor?
Durum Microsoft’a bildirildi.
İlk geri dönüşe göre:
- Eski işletim sistemlerinde
- Defender’ın kendi iç süreçleri
- process injection gibi algılanabiliyor
Resmi doğrulama süreci devam etse de, genel kanaat:
Bu durum bir yanlış alarm
IT Ekipleri İçin Öneri
Bu uyarıyı gören ekipler için:
- Panik yapmadan önce log korelasyonu yapılmalı
- Defender heartbeat zamanları kontrol edilmeli
- Gereksiz incident süreçlerinden kaçınılmalı
Özellikle legacy sistemlerde bu tip false positive’ler daha olası
Windows Server 2008 R2 gibi eski sistemlerde:
- Modern güvenlik araçları her zaman doğru sonuç üretmeyebilir
- False positive alarmlar ciddi zaman kaybına neden olabilir
Bu olay, legacy sistemlerin risklerini ve modern güvenlik araçlarıyla uyumsuzluklarını bir kez daha ortaya koyuyor.
