Microsoft 365 güvenliği: Sıklıkla eksik kalan 10 ayar

Microsoft 365 varsayılan haliyle güvenli mi? Kısa cevap

Tam olarak değil. Microsoft veri merkezlerini işletir ve platformu korur, ancak ortamınızın (tenant) ne kadar güvenli olduğu kendi ayarlarınıza bağlıdır. Birçok şirket hâlâ yıllar önce ilk kurulumda oluşan yapılandırmayla çalışır ve önemli koruma işlevleri çoğu zaman tam da burada eksik kalır.

Aşağıdaki on ayar, oturum açmadan e-postaya, dosya paylaşımından yedeklemeye kadar en yaygın açıkları kapatır. Bunların çoğu tüm işletme planlarında kullanılabilir. Microsoft menü adlarını sık sık değiştirdiği için nereye tıklayacağınızı değil, neyi ayarlamanız gerektiğini anlatıyoruz.

Oturum açmayı ve hesapları koruyun (1. ile 4. ayar)

1. İstisnasız tüm kullanıcılar için MFA

İkinci bir faktör olmadan, çalınmış bir şifre bir e-posta kutusunu ele geçirmeye yeter. Bu nedenle MFA'yı yalnızca yönetim veya BT için değil, her hesap için etkinleştirin. Standart olarak bir doğrulama uygulaması uygundur; yöneticiler ise FIDO2 güvenlik anahtarları veya passkey'ler gibi oltalamaya dayanıklı yöntemler kullanmalıdır. Geçişi nasıl planlayacağınızı MFA'ya geçiş rehberimizde anlatıyoruz.

2. Eski kimlik doğrulamayı engelleyin

Eski (legacy veya basic) kimlik doğrulamada uygulamalar ve cihazlar yalnızca kullanıcı adı ve şifre gönderir; MFA burada devreye girmez. Microsoft bu yöntemi Exchange Online protokollerinin çoğunda zaten kapattı; birçok çok fonksiyonlu yazıcının ve eski uygulamanın kullandığı SMTP ile gönderim için de sonunu duyurdu, ancak takvim birkaç kez değişti. Eski oturum açmaları güvenlik varsayılanları veya koşullu erişimle engelleyin; cihazları ve uygulamaları şimdiden modern kimlik doğrulamaya taşıyın.

3. En az yetkiyle ayrı yönetici hesapları

Aynı hesapla hem e-postalar okunuyor hem de ortam yönetiliyorsa her oltalama e-postası tüm şirketi riske atar. Bu nedenle yöneticiler, yalnızca yönetim işleri için kullanılan, e-posta kutusu olmayan ayrı bir bulut hesabı alır. Genel Yönetici (Global Administrator) sayısı az olmalıdır; Microsoft beşten az olmasını önerir. Günlük işler için Kullanıcı Yöneticisi, Yardım Masası Yöneticisi veya Exchange Yöneticisi gibi sınırlı roller yeterlidir.

4. Lisansınız izin veriyorsa koşullu erişimi kullanın

Koşullu erişim (Conditional Access) ile oturum açma kuralları cihaz, konum ve uygulama gibi bağlam bilgilerini dikkate alır. Tipik kurallar herkes için MFA ister, hassas verilere yalnızca yönetilen cihazlardan erişime izin verir ve iş ilişkiniz olmayan ülkelerden oturum açmayı engeller. Bu özellik Microsoft Entra ID P1 gerektirir; bu lisans örneğin Microsoft 365 Business Premium ve E3 içinde yer alır. Bu lisans yoksa ücretsiz güvenlik varsayılanları (Security Defaults) sağlam bir temel koruma sunar.

E-postayı ve dosyaları koruyun (5. ile 7. ayar)

5. Oltalama karşıtı politikalar ve Defender for Office 365

Exchange Online kullanan her ortamda, istenmeyen e-postaya, zararlı yazılıma ve sahte göndericilere karşı temel bir koruma olan Exchange Online Protection bulunur. Microsoft Defender for Office 365 buna bağlantıların tıklandığı anda kontrol edilmesini, eklerin korumalı bir ortamda (sandbox) açılmasını ve örneğin genel müdür kılığına girilmesine karşı kimliğe bürünme korumasını ekler. Plan 1, Business Premium içinde yer alır. En kolay yol, önceden ayarlanmış güvenlik politikalarını Standart veya Katı seviyesinde etkinleştirmektir.

Ayrıca kimsenin sizin adınıza inandırıcı e-postalar gönderememesi için kendi alan adınız SPF, DKIM ve DMARC ile korunmalıdır. Hiçbir filtre her şeyi yakalayamadığı için oltalamanın uyarı işaretlerini bilen bir ekip de önemini korur.

6. Dış adreslere otomatik yönlendirmeyi engelleyin

Saldırganlar bir e-posta kutusunu ele geçirdikten sonra çoğu zaman tüm e-postaları fark ettirmeden dış bir adrese yönlendiren veya belirli mesajları gizleyen bir kural oluşturur. Böylece şifre değiştirildikten sonra bile fatura ve ödeme yazışmalarını takip edebilirler. Dış adreslere otomatik yönlendirmenin giden istenmeyen posta politikasında açıkça kapatıldığından emin olun; istisnalara yalnızca belgelenmiş, tek tek e-posta kutuları için izin verin. Mevcut yönlendirmeleri ve gelen kutusu kurallarını da kontrol edin.

7. SharePoint ve OneDrive'da dış paylaşımı sınırlayın

Birçok ortamda kullanıcılar dosyaları, alıcının oturum açmasını gerektirmeyen bir bağlantıyla herkesle paylaşabilir. Bu tür bağlantılar başkalarına iletilebilir ve son kullanma tarihi belirlenmezse süresiz geçerli kalır. Dış paylaşıma mümkünse yalnızca oturum açması gereken misafirler için izin verin, varsayılan bağlantı türünü belirli kişiler olarak ayarlayın ve anonim bağlantılara izin veriyorsanız bunlar için zorunlu bir son kullanma tarihi belirleyin.

İzleyin ve değerlendirin (8. ve 9. ayar)

8. Denetim kayıtlarını ve uyarıları etkinleştirin

Kayıtlar olmadan, bir olaydan sonra kimin hangi verilere ne zaman eriştiğini tespit etmek çok zordur. Birleşik denetim günlüğünün (audit log) ve e-posta kutusu denetiminin açık olup olmadığını kontrol edin: İkisi de birçok ortamda varsayılan olarak açıktır, ancak hepsinde değil. Standart denetim seviyesinde kayıtlar şu anda 180 gün saklanır; daha uzun süreler için daha üst bir lisans veya kayıtların dışa aktarılması gerekir.

Uyarılar da en az bunlar kadar önemlidir; örneğin yeni yönlendirme kuralları, yeni atanan yönetici rolleri veya olağan dışı oturum açmalar için. Özellikle yönetici hesaplarınızın e-posta kutusu yoksa uyarıların kime gideceğini açıkça belirleyin ve bunlara kimin müdahale edeceğini netleştirin. Bunu şirket içinde karşılayamıyorsanız izlemeyi bir yönetilen güvenlik hizmetine devredebilirsiniz.

9. Secure Score'u yol gösterici olarak kullanın

Microsoft Secure Score, ortamınızın yapılandırmasını puanlar ve önerilen eylemleri etkilerine göre listeler. Açıkları bulmak ve ilerlemeyi göstermek için iyi bir başlangıç noktasıdır. Ancak puan tek başına bir hedef değildir: Bazı öneriler sahip olmadığınız lisanslar gerektirir, bazıları ise çalışma şeklinize uymaz. Bir öneriyi neden uyguladığınızı veya neden bilinçli olarak uygulamadığınızı belgeleyin.

Verilerinizi bağımsız olarak yedekleyin (10. ayar)

Paylaşılan sorumluluk modeline göre Microsoft hizmetin erişilebilir olmasını sağlar, verilerinizin sorumluluğu ise sizdedir. Geri dönüşüm kutusu, sürüm geçmişi ve saklama politikaları tek tek öğeleri geri almaya yardımcı olur, ancak tam bir yedekleme değildir: Yalnızca sınırlı bir süre geriye giderler veya daha çok uyumluluk amacına hizmet ederler; toplu silme ya da fidye yazılımı sonrasında her şeyi bunlarla geri yüklemek zordur.

Bu nedenle Exchange, OneDrive ve SharePoint verilerini (Teams dosyaları da burada bulunur), erişimi normal yönetici hesaplarından bağımsız olarak korunan ayrı bir yedekleme hizmetiyle yedekleyin. Bir e-posta kutusunun veya bir kitaplığın gerçekten geri yüklenebildiğini düzenli olarak test edin. Sağlam bir yedekleme stratejisinin nasıl olması gerektiğini 3-2-1 kuralı ve değiştirilemez yedekler yazımızda bulabilirsiniz.

10 ayara genel bakış

Sonuç: Doğru kurun, sonra düzenli olarak kontrol edin

Bu ayarların hiçbiri karmaşık değildir, ancak birlikte saldırganların Microsoft 365 ortamlarında sıkça istismar ettiği açıkları kapatırlar. Ayarları düzenli olarak kontrol edin, çünkü yeni kullanıcılar, lisanslar ve özellikler ortamı sürekli değiştirir. Ortamınızı kontrol ettirmek isterseniz Q-entra, kurulumda siber güvenlik kapsamında, isterseniz sürekli bakımda da yönetilen güvenlik hizmetiyle destek verir.