Microsoft 365, kurumların e-postasını, dosyalarını ve iş birliğini tek çatı altında toplar. Bu da onu saldırganlar için en değerli hedeflerden biri yapar: ele geçirilen tek bir hesap, e-postalara, paylaşılan dosyalara ve iç yazışmalara erişim anlamına gelir. Microsoft son yıllarda varsayılan güvenliği artırsa da birçok kiracıda kritik ayarlar hâlâ açık bekliyor.
Menü adları ve lisans kapsamları zaman içinde değişebilir. Bazı özellikler (örneğin Koşullu Erişim, Defender for Office 365) belirli lisanslar gerektirir; mevcut lisansınızı kontrol edin.
1. Tüm kullanıcılar için çok faktörlü doğrulama
Hesap ele geçirme saldırılarının büyük çoğunluğu MFA ile engellenebilir. Koşullu Erişim lisansınız yoksa güvenlik varsayılanlarını (security defaults) açın; lisansınız varsa Koşullu Erişim ile tüm kullanıcılar için MFA zorunlu kılın. SMS yerine Microsoft Authenticator uygulaması veya FIDO2 anahtarları gibi daha güçlü yöntemleri tercih edin.
2. Eski kimlik doğrulama protokollerini engelleyin
MFA'yı desteklemeyen eski protokoller, MFA'yı atlatmanın klasik yoludur. Microsoft, Exchange Online'da temel kimlik doğrulamayı büyük ölçüde kapattı; yine de Koşullu Erişim ile "eski kimlik doğrulamayı engelle" politikası tanımlamak ve eski e-posta istemcisi kullanan cihaz kalmadığından emin olmak gerekir.
3. Genel yönetici sayısını sınırlayın
Genel yönetici (Global Administrator) rolü her şeyi yapabilir. Microsoft en az iki, en fazla beş genel yönetici öneriyor. Diğer yöneticilere yalnızca ihtiyaç duydukları rolleri (Exchange yöneticisi, kullanıcı yöneticisi vb.) verin. Yönetici hesapları, günlük e-posta için kullanılan hesaplardan ayrı olmalıdır.
4. Acil durum hesabı oluşturun
MFA veya Koşullu Erişim yanlış yapılandırıldığında herkesin dışarıda kalması mümkündür. Bunun için güçlü parolalı, sürekli izlenen ve yalnızca acil durumda kullanılan bir veya iki "cam kır" (break-glass) hesabı tutun ve bu hesapların oturum açmalarında alarm tanımlayın.
5. Dış e-posta yönlendirmesini engelleyin
Saldırganlar ele geçirdikleri hesaplarda genellikle tüm e-postaları kendi adreslerine yönlendiren bir kural oluşturur. Giden istenmeyen posta ilkesinde otomatik dış yönlendirmenin kapalı olduğunu doğrulayın ve gerekli istisnaları tek tek tanımlayın.
6. SPF, DKIM ve DMARC yapılandırın
Bu üç DNS kaydı, alan adınız adına başkalarının e-posta göndermesini zorlaştırır ve e-postalarınızın alıcıya ulaşma oranını artırır.
- SPF: Alan adınız adına hangi sunucuların e-posta gönderebileceğini tanımlar.
- DKIM: Giden e-postaları dijital olarak imzalar. Microsoft 365 yönetim merkezinden etkinleştirilir.
- DMARC: SPF/DKIM kontrolünden geçemeyen e-postalara ne yapılacağını söyler.
p=noneile raporları izleyerek başlayın, ardındanquarantineverejectdüzeyine çıkın.
7. Uygulama onaylarını kısıtlayın
Kullanıcıların herhangi bir üçüncü taraf uygulamaya hesaplarına erişim izni vermesi, "onay kimlik avı" (consent phishing) saldırılarının kapısını açar. Kullanıcı onayını yalnızca doğrulanmış yayıncılar ve düşük riskli izinlerle sınırlayın; diğerleri için yönetici onay akışını etkinleştirin.
8. Dış paylaşımı kontrol altına alın
SharePoint ve OneDrive'da "herkes" bağlantıları (kimlik doğrulama gerektirmeyen paylaşım bağlantıları), yanlışlıkla veya kasıtlı veri sızıntısının en kolay yoludur. Varsayılan paylaşım türünü "kuruluşunuzdaki kişiler" yapın, dış paylaşıma izin veriliyorsa bağlantılar için son kullanma süresi tanımlayın.
9. Denetim günlüğünü ve uyarıları kullanın
Denetim günlüğünün (audit log) açık olduğunu doğrulayın ve saklama süresini lisansınızın izin verdiği ölçüde ayarlayın. Şüpheli oturum açma, toplu dosya silme, yeni gelen kutusu kuralı gibi olaylar için uyarı ilkeleri tanımlayın. Bir olay yaşandığında "ne oldu?" sorusunun cevabı bu kayıtlardadır.
10. Yedeklemeyi ihmal etmeyin
Microsoft 365, hizmetin sürekliliğini sağlar; ama verilerinizin sizin hatanız, bir kullanıcının hatası veya fidye yazılımı nedeniyle silinmesine karşı tam bir yedekleme sunmaz. Geri dönüşüm kutusu ve saklama ilkeleri sınırlı süreli koruma sağlar. Exchange, OneDrive, SharePoint ve Teams verileri için üçüncü taraf bir Microsoft 365 yedekleme çözümü değerlendirin.
Bonus: Secure Score'u takip edin
Microsoft Defender portalındaki Secure Score, kiracınızın güvenlik ayarlarını puanlar ve önceliklendirilmiş öneriler sunar. Puanı tek başına hedef yapmak yerine, her önerinin kullanıcılarınıza etkisini değerlendirerek adım adım ilerleyin ve puanın zaman içindeki değişimini izleyin.
Kısa kontrol listesi
- Tüm kullanıcılarda MFA zorunlu
- Eski kimlik doğrulama engelli
- 2–4 genel yönetici, ayrı yönetici hesapları
- Acil durum hesapları oluşturuldu ve izleniyor
- Otomatik dış yönlendirme kapalı
- SPF, DKIM ve DMARC yapılandırıldı
- Uygulama onayı kısıtlandı
- Dış paylaşım varsayılanları sıkılaştırıldı
- Denetim günlüğü ve uyarılar aktif
- Microsoft 365 verileri yedekleniyor