Çok faktörlü kimlik doğrulamaya (MFA) geçiş: Adım adım rehber

Şifreler neden tek başına yeterli değil?

Şifre tek bir sırdır ve birçok yolla ele geçirilebilir: bir oltalama (phishing) sayfasıyla, dizüstü bilgisayardaki zararlı bir yazılımla, aynı şifrenin kullanıldığı başka bir hizmetteki veri sızıntısıyla ya da basitçe tahmin edilerek. Şifreyi bilen kişi, sistem açısından gerçek kullanıcıdan ayırt edilemez. Çok faktörlü kimlik doğrulama (MFA), oturum açarken ikinci ve bağımsız bir kanıt isteyerek bu açığı kapatır.

Bu ikinci faktör, kişinin sahip olduğu bir şeydir (akıllı telefon veya güvenlik anahtarı gibi) ya da kişinin kendisine ait bir özelliktir (anahtarın kilidini açan parmak izi gibi). MFA, iyi düşünülmüş bir şifre politikasının yerini tutmaz, ancak sızdırılmış bir şifrenin sonuçlarını önemli ölçüde azaltır.

MFA yöntemlerinin karşılaştırması: Her ikinci faktör aynı güçte değildir

Yöntemler özellikle bir noktada ayrışır: gerçeğinden ayırt edilemeyen sahte bir giriş sayfasıyla kandırılıp kandırılamayacakları. Modern oltalama kitleri kullanıcı ile gerçek hizmet arasına girer ve tek kullanımlık kodlar dahil girilen her şeyi aktarır. Yalnızca gerçek web sitesine kriptografik olarak bağlı yöntemler oltalamaya dayanıklı kabul edilir.

Numara eşleştirmeli doğrulama uygulaması

Çoğu çalışan için akıllı telefondaki bir doğrulama uygulaması (authenticator) pratik bir standarttır. Numara eşleştirmede (number matching) giriş ekranında kısa bir sayı gösterilir ve bu sayının uygulamaya yazılması gerekir. Bu sayede başkasına ait bir girişin alışkanlıkla onaylanması önlenir. Ancak numarayı anlık olarak aktaran sahte bir giriş sayfasına karşı koruma sağlamaz.

FIDO2 güvenlik anahtarları ve passkey'ler

FIDO2 güvenlik anahtarları küçük USB veya NFC cihazlarıdır. Passkey'ler aynı standarda dayanır ve akıllı telefonda, dizüstü bilgisayarda ya da şifre yöneticisinde saklanır. Her ikisi de yalnızca hizmetin gerçek alan adına yanıt verir; yani sahte bir sayfa işe yarar hiçbir şey elde edemez. Yöneticiler ve finans ya da hassas verilere erişimi olan herkes için doğru seçimdir. Güvenlik anahtarı kullanıyorsanız kişi başına biri yedek olmak üzere iki anahtar planlayın.

SMS neden yalnızca geçici bir çözümdür?

SMS kodları hiç ikinci faktör kullanmamaktan iyidir, ancak en zayıf seçenektir. Saldırganlar SIM swap dolandırıcılığıyla, yani numarayı sahte bir başvuruyla başka bir SIM karta taşıtarak kodları kendilerine yönlendirebilir; kodlar da şifreler gibi oltalamayla ele geçirilebilir. ABD standartlar enstitüsü NIST, SMS veya arama ile gelen kodları yalnızca ek güvenlik önlemleriyle, örneğin daha güvenli bir alternatif de sunularak kullanılması gereken kısıtlı bir yöntem olarak sınıflandırır. SMS'i yalnızca başka seçenek olmadığında kullanın.

MFA'ya nereden başlamalı: En kritik hesaplar

Tüm sistemleri aynı gün korumaya almanız gerekmez. Ele geçirilmesi en büyük zararı verecek yerden başlayın:

1. Yönetici hesapları: Microsoft 365 veya Google Workspace yöneticileri, güvenlik duvarı, yedekleme konsolu, alan adı kayıt firması ve hosting.
2. E-posta ve iş birliği araçları: E-posta kutuları, neredeyse tüm diğer hizmetlerde şifre sıfırlamanın anahtarıdır.
3. VPN ve uzaktan erişim: VPN girişleri, uzak masaüstü ve uzaktan bakım araçları sık kullanılan giriş noktalarıdır.
4. Hassas veri içeren bulut uygulamaları: Muhasebe, bordro, CRM ve dosya depolama.
5. Şifre yöneticisinin kendisi: Diğer tüm erişim bilgilerini içerir.

Ardından MFA'sız eski oturum açma yöntemlerini arayın; örneğin POP, IMAP veya SMTP üzerinden yalnızca kullanıcı adı ve şifreyle bağlanan e-posta programları, yazıcılar veya tarayıcılar (temel kimlik doğrulama, basic authentication). Büyük sağlayıcılar bu yöntemleri adım adım kapatıyor, ancak hâlâ çalıştıkları yerlerde saldırganlar ikinci faktörü atlatabilir. Bunu nasıl ele alacağınızı Microsoft 365 güvenliği yazımızda anlatıyoruz.

Geçiş planı: Altı adımda MFA

1. Durum tespiti: Ortak e-posta kutuları ve servis hesapları dahil tüm hesapları, hizmetleri ve erişim yollarını listeleyin.
2. Yöntemleri belirleyin: Çalışanlar için standardı, yöneticiler için yöntemi ve istisnalar için bir yedek çözümü tanımlayın.
3. Pilot aşama: BT ekibi ve farklı departmanlardan birkaç gönüllüyle başlayın; sorunları not edin.
4. İletişim: Değişikliği erken duyurun, nedenini açıklayın ve ekran görüntülü kısa bir kılavuz hazırlayın.
5. Kayıt aşaması: Herkese yöntemlerini kurması için belirli bir süre verin; yerinde veya telefonla destek sağlayın.
6. Zorunlu hale getirin ve kontrol edin: MFA'yı zorunlu yapın, eski erişim yollarını engelleyin ve tüm hesapların kapsandığını düzenli olarak kontrol edin.

MFA'nın kabul görüp görmeyeceğini her şeyden önce iletişim belirler. Çalışanlar değişikliğin neden yapıldığını, ne yapmaları gerektiğini ve bir şey çalışmadığında kime başvuracaklarını bilmelidir. Belirli bir geçiş tarihi, mesai saatleri içinde bir kurulum oturumu ve belirlenmiş bir irtibat kişisi direnci önemli ölçüde azaltır.

MFA yorgunluğu: Bildirim bombardımanını tanıyın ve engelleyin

Saldırgan bir şifreyi zaten ele geçirmişse, anlık bildirimleri (push) defalarca tetikleyebilir; çoğu zaman gece geç saatlerde ya da kendini BT destek ekibi olarak tanıttığı bir telefon görüşmesiyle birlikte. Amacı, kullanıcının bildirimler dursun diye sonunda onaylamasıdır. Buna MFA yorgunluğu (MFA fatigue) veya bildirim bombardımanı (push bombing) denir ve başlangıçta çoğu zaman şifreyi ele geçiren bir oltalama e-postası vardır. Şu önlemler işe yarar:

• Numara eşleştirmeyi ve uygulama adı, konum gibi ek bağlam bilgilerini etkinleştirin.
• Giriş denemelerini sınırlayın ve olağandışı girişimlerde BT ekibine uyarı gitmesini sağlayın.
• BT ekibinin telefonda asla onay veya kod istemeyeceğini açıkça belirtin.
• Yöneticiler ve diğer kritik hesaplar için oltalamaya dayanıklı yöntemler kullanın.

Kaybolan cihazlar ve hesap kurtarma

Er ya da geç bir akıllı telefon kaybolur, bozulur veya değiştirilir. Bunun için net bir süreç yoksa MFA'yı hızlıca kapatıp geçme isteği doğar; saldırganlar da yardım masasına yaptıkları sahte aramalarla tam olarak bunu kullanmaya çalışır. Yeni bir cihaz kaydedilmeden önce kişinin kimliğini nasıl kanıtlayacağını önceden belirleyin.

• Kişi başına en az iki yöntem kaydedin, örneğin bir uygulama ve bir güvenlik anahtarı.
• Kimliği, bilinen bir numarayı geri arayarak veya yüz yüze doğrulayın; yalnızca talep üzerine işlem yapmayın.
• Yeniden kayıt için MFA'yı kapatmak yerine süreli, tek kullanımlık erişim kodları kullanın.
• Kaybolan cihazları hesaptan hemen kaldırın ve her sıfırlamayı belgeleyin.

Koşullu erişim: Bağlama göre MFA

Koşullu erişim (Conditional Access) ile giriş kuralları bağlamı dikkate alır: Kim, hangi cihazla, hangi ülkeden ve hangi uygulamaya giriş yapıyor? Tipik bir kural seti tüm kullanıcılar için MFA ister, hassas verilere yalnızca yönetilen cihazlardan erişime izin verir ve şirketin faaliyet göstermediği ülkelerden gelen girişleri engeller. Yöneticilerden ayrıca oltalamaya dayanıklı yöntemler kullanmaları istenir.

Microsoft 365'te ücretsiz güvenlik varsayılanları (Security Defaults) temel bir koruma sağlar. Ayrıntılı koşullu erişim kuralları ise örneğin Microsoft 365 Business Premium içinde yer alan bir Microsoft Entra ID P1 lisansı gerektirir. Kimsenin yanlışlıkla dışarıda kalmaması için yeni kuralları önce yalnızca rapor (report-only) modunda test edin.

Sonuç: MFA'yı bir gecede değil, planlı şekilde devreye alın

MFA, her büyüklükteki işletme için harcanan emek ile sağlanan etki arasında çok iyi bir denge sunar; NIS2 direktifi de MFA'yı risk yönetimi önlemleri arasında açıkça sayar. Destek isterseniz Q-entra, kurulumu siber güvenlik hizmeti kapsamında üstlenir ve dilerseniz ayarları yönetilen güvenlik hizmetiyle sürekli olarak takip eder.