Microsoft 365 güvenlik kontrol listesi
CyberLord Güvenlik Ekibi Yazar profili
Microsoft 365, küçük işletmelerin çoğunda kurulumu yarım saatte biten bir araç gibi görünür. Oysa aynı tenant, varsayılan ayarlarıyla saldırganın ilk denediği yerdir. Kimlik avı saldırılarının son yıllarda yüzde 58 arttığı, kurumların yüzde 64'ünün iş e-postası ele geçirme girişimiyle karşılaştığı ve ortalama kaybın 150 bin doları bulduğu bir tabloda yapılandırma detayları doğrudan maliyet kalemine dönüşüyor.
Bu kontrol listesi, tek lisans satın almadan uygulanabilecek ayarları önceleyerek yazıldı. Sıra rastgele değil: önce kimlik, sonra posta, sonra dosya paylaşımı; saldırgan da bu sırayı izliyor.
Kısa cevap: ilk gün kapatılacak üç açık
- Yönetici hesaplarında MFA yok: Otomatik kimlik bilgisi denemelerinin büyük bölümünü çok faktörlü doğrulama durduruyor; yönetici hesapları bu kuralın istisnası değil.
- Eski kimlik doğrulama protokolleri açık: IMAP, POP ve eski SMTP kimlik doğrulaması MFA'yı atlar. Kapatılmadığı sürece MFA bir kapı kilidi, açık pencere ise açık kalır.
- "Bağlantıya sahip herkes" paylaşımı: OneDrive ve SharePoint'te varsayılan paylaşım bağlantısı, tek bir yanlış tıklamayla dosyayı internete açar.
Bu üç madde aynı gün kapatılabilir ve riskin çoğunu azaltır.
Tenant neden ilk hedef
Saldırgan için Microsoft 365 değerlidir çünkü tek bir hesap, tüm iş yazışmasına, müşteri listesine, sözleşmelere ve fatura akışına erişim demektir. Fidye yazılımı kurmadan, sadece bir muhasebe hesabıyla ödeme yönlendirmesi yapılabilir. Saldırıların önemli bölümü bu yüzden kimlik avı üzerinden ilerliyor.
İkinci neden yapılandırma. Bulut güvenlik olaylarının neredeyse tamamı yanlış varsayılan ayardan doğuyor: fazla yetkili uygulama onayı, süresi dolmayan paylaşım bağlantısı, kapatılmamış eski protokol. Lisans yükseltmek bu açıkları kapatmaz; ayarın bilinçli seçilmesi gerekir.
Kimlik: Entra ID sertleştirme
Her şeyin başladığı yer kimlik katmanı. Sırayla şunları uygulayın:
- MFA'yı herkese açın: Önce yönetici rolleri, sonra finans ve yönetim, ardından tüm kullanıcılar. SMS yerine kimlik doğrulayıcı uygulama veya donanım anahtarı tercih edin.
- İki acil durum hesabı bırakın: Bulut yalnız, lisanssız ve günlük işte kullanılmayan iki hesap; parolaları kasada, MFA'sı ayrı cihazda. MFA kilitlenmesinde tek çıkış yolu bunlar.
- Yönetici rollerini ayırın: Günlük e-posta hesabınızla yönetici olmayın. Global yönetici sayısını iki-üç arasında tutun; yardımcı rolleri ihtiyaç kadar dağıtın.
- Self servis parola sıfırlamayı yapılandırın: Çalışanın yardım masasına bağlı kalmadan parolasını yenilemesi yükü azaltır ve zayıf geçici parola alışkanlığını bitirir.
- Konuk ve dış kullanıcıları gözden geçirin: Kimin tenant'a davet edildiğini üç ayda bir listeleyin; işi biten davetleri kaldırın.
Koşullu erişim lisansı yoksa güvenlik varsayılanlarını açık tutun; varsa en az üç politika kurun: yöneticiler için MFA zorunluluğu, eski protokollerin engellenmesi ve riskli oturum açmalarda parola değişikliği.
Posta: kimlik doğrulama ve Exchange Online
Alan adınızın sahte göndericilerce kullanılmasını engelleyen üç kayıt ilk gün tamamlanmalı: SPF hangi sunucuların sizin adınıza gönderim yapabileceğini tanımlar, DKIM iletinin değiştirilmediğini kanıtlar, DMARC uyumsuz postaya ne yapılacağını söyler.
DMARC'ı doğrudan reddetme politikasıyla başlatmak, meşru gönderilerin kaybolmasına yol açabilir. Önce raporlama modunda çalıştırın, raporları iki ila dört hafta izleyin, gönderenleri kayda alın ve politikayı kademeli sıkılaştırın. Bu süreçte pazarlama ve muhasebe araçlarının hangi sunuculardan gönderim yaptığını yazılı hale getirin.
Exchange Online tarafında dış otomatik yönlendirme kurallarını engelleyin; saldırganların ele geçirdikleri kutudan veri sızdırmak için en sık kullandığı yöntem budur. Bunun yanında ek ve bağlantı filtreleme, kimlik sahtekarlığı (spoofing) koruması ve kullanıcıya bildirim yapan raporlama düğmesini açın.
Koşullu erişim ve cihaz uyumu
Şifre tek başına yeterli bir kanıt değil; asıl soru hangi cihazdan ve hangi koşulda oturum açıldığı. Koşullu erişim bu soruya politika ile cevap verir.
Asgari politika seti şu dört başlıktan oluşur: yönetici rolleri için her oturumda MFA, tüm kullanıcılar için eski kimlik doğrulama protokollerinin engellenmesi, yüksek riskli oturumlarda ek doğrulama ve şirket verisine erişimin uyumlu cihazla sınırlandırılması. Son madde, kişisel ve yönetilmeyen cihazlardan gelen erişimi kontrol altına alır.
Cihaz uyumu için Intune tarafında minimum bir standart tanımlayın: disk şifreleme açık, işletim sistemi güncel, ekran kilidi zorunlu, kök erişimi kapalı. Uyumlu olmayan cihaz engellenmek yerine önce karantinaya alınabilir; böylece kullanıcı neyi düzeltmesi gerektiğini görür.
Politikaları gruplara uygularken pilot grubu unutmayın; tüm şirkete aynı anda uygulanan katı politika, ilk gün yönetim ekibinin erişimini kesebilir.
Teams
Teams, kurulumu en kolay ve en az gözden geçirilen yüzey. Dış erişimi ihtiyaç duyulan etki alanlarıyla sınırlayın; konuk davetini yönetici onayına bağlayın. Toplantılarda lobi kontrolünü açık tutun, anonim katılımcıların doğrudan girmesine izin vermeyin.
Dosya paylaşımı ayrı bir başlık: Teams kanalındaki bir dosya aslında SharePoint'te durur ve oradaki paylaşım ayarları geçerlidir. Kanallarda uygulama ekleme yetkisini kısıtlayın; onaylanmamış üçüncü taraf uygulamalar kurumsal veriye erişim isteyebilir. Çalışanların onaysız yapay zeka araçlarına belge yüklemesi de aynı riskin başka yüzü; bunu gölge yapay zeka riskleri yazımızda ele aldık.
SharePoint ve OneDrive
Paylaşım varsayılanını "belirli kişiler" olarak değiştirin; "bağlantıya sahip herkes" seçeneğini tenant genelinde kapatın. Dış paylaşım gerekiyorsa süre sonu koyun: 30 gün sonra kendiliğinden kapanan bağlantı, unutulmuş erişimlerin en büyük kaynağını ortadan kaldırır.
Dış paylaşımı belirli etki alanlarıyla sınırlandırmak, müşteri ve tedarikçiyle çalışmayı engellemeden riski düşürür. Hassas klasörler için veri kaybı önleme politikaları tanımlayın; kimlik numarası, kart numarası ve IBAN içeren dosyaların dış paylaşımını uyarıya bağlayın. Sürüm geçmişini açık tutun, silinen dosyaların kurtarma süresini ayarlayın.
Kayıt ve izleme
Denetim günlüğü kapalı bir tenant, olay sonrası incelemede kör kalır. Birleşik denetim günlüğünü açın ve saklama süresini lisansınızın izin verdiği en uzun süreye çekin; 90 gün, çoğu olayın geriye dönük incelenmesi için asgari sınırdır.
Uyarılar sınırlı tutulmalı, yoksa ekip uyarı yorgunluğu yaşar. Öncelikli dört sinyal: gelen kutusu kuralı veya ileti yönlendirmesi, çok sayıda başarısız oturum açma, olağandışı saatte yönetici oturumu ve gönderme limitinin aşılması. Her biri, ele geçirilmiş hesabın tipik izidir.
Secure Score, ayarların özetini verir ve haftalık takip için iyi bir çerçevedir; ancak puan tek başına hedef değildir. Puan için işlevselliği bozan ayarları açmak, kazandığınızdan fazlasını kaybettirir. Önerileri iş etkisiyle değerlendirin.
Öncelik sırası: bugün, bu hafta, bu çeyrek
- Bugün: yönetici hesaplarında MFA, eski protokollerin kapatılması, dış otomatik yönlendirme engeli, denetim günlüğünün açılması.
- Bu hafta: SPF, DKIM ve DMARC kayıtları, paylaşım bağlantısı varsayılanı, konuk erişim listesi, iki acil durum hesabı.
- Bu çeyrek: koşullu erişim politikaları, cihaz uyum standardı, veri kaybı önleme kuralları ve çıkış süreci.
Son maddeyi ayrı tutun: ayrılan bir çalışanın hesabı, cihazı ve oturumları kapatılmadan geçen her gün açık bir kapıdır. Çalışan çıkışı kontrol listemiz süreci saat bazında tarif ediyor.
Sık yapılan yapılandırma hataları
- MFA'yı yalnızca yöneticilere uygulamak: Saldırgan sıradan bir kullanıcıdan başlar, sonra yanal hareket eder.
- Eski protokolleri açık bırakmak: MFA açık görünür, ancak posta istemcisi bu kontrolü atlar.
- DMARC'ı p=none ile bırakmak: Rapor toplanır, sahtecilik engellenmez.
- Paylaşımı "herkes" varsayılanıyla bırakmak: Tek bir bağlantı, tüm dosya arşivini dışarı açar.
- Üçüncü taraf uygulama onayını kullanıcıya bırakmak: OAuth izniyle veri çeken uygulamalar parola gerektirmez.
- Ayrılan çalışanın lisansını kapatıp oturumlarını iptal etmemek: Lisans kapanır, açık oturum çalışmaya devam eder.
Bu maddelerin çoğu tek denetim turunda bulunur; üç ayda bir yapılan iki saatlik gözden geçirme, yıllık büyük bir projeden etkilidir.
Sık sorulan sorular
Microsoft 365'in varsayılan ayarları güvenli değil mi? Temel koruma sunar, ancak küçük işletmelerin ihtiyaç duyduğu sıkılaştırma açık değildir. Dış paylaşım, eski protokoller ve uygulama onayı gibi ayarlar hız için gevşek bırakılmıştır; ilk gün bunların gözden geçirilmesi gerekir.
Ek lisans almadan bu adımları uygulayabilir miyiz? Listedeki maddelerin önemli kısmı mevcut abonelikle uygulanabilir. Koşullu erişim ve bazı raporlama özellikleri üst planlara bağlıdır; bu durumda güvenlik varsayılanları ve cihaz uyumu ile benzer koruma sağlanabilir.
MFA'yı açtıktan sonra eski protokolleri kapatmak neden şart? IMAP, POP ve eski SMTP kimlik doğrulaması MFA akışını kullanmaz. Bu protokoller açık kaldığı sürece çalınmış bir parola, çok faktörlü doğrulamaya rağmen posta erişimi sağlar.
DMARC politikasını hemen reddetme moduna alabilir miyiz? Riskli. Önce raporlama modunda çalıştırıp meşru gönderenleri tespit etmek, sonra politikayı kademeli sıkılaştırmak gerekir; aksi halde fatura ve bildirim e-postaları sessizce kaybolabilir.
Bu ayarları kim, ne sıklıkla kontrol etmeli? Tenant yapılandırmasının tek bir sahibi olmalı, genellikle IT yöneticisi. Aylık olarak uyarılar ve Secure Score, üç ayda bir paylaşım ayarları, konuk listesi ve yönetici rolleri gözden geçirilmelidir.
Tenant yapılandırmanızı bağımsız bir gözle kontrol ettirmek isterseniz Ekiple görüşün.