Siber saldırıların %90'ından fazlası hâlâ tek bir oltalama (phishing) e-postası ile başlamaktadır. Özellikle kurumsal yapılarda üst düzey yöneticilerin veya iş ortaklarının kimliğine bürünerek gerçekleştirilen BEC (Business Email Compromise / Kurumsal E-Posta İhlali) ve Domain Spoofing (Alan Adı Sahteciliği) saldırıları, yalnızca gelen kutusu filtreleriyle durdurulamaz.
Bu kapsamlı rehberde; Exchange Online ortamlarında DNS tabanlı kimlik doğrulama protokollerini (SPF, DKIM, DMARC) sıfırdan en sıkı (Reject) seviyeye nasıl taşıyacağımızı, Microsoft Defender for Office 365 politikalarını (Anti-Phishing, Safe Links, Safe Attachments) nasıl optimize edeceğimizi ve PowerShell ile tüm bu mimariyi nasıl denetleyeceğimizi adım adım inceleyeceğiz.
1. Gönderici & DNS Katmanı
SPF IP listesini doğrular, DKIM ileti başlığını özel anahtarla (Private Key) imzalar, DMARC ise hizalama (Alignment) kurallarını beyan eder.
2. EOP & Edge Filtreleme
Exchange Online Protection (EOP); bağlantı filtreleme, IP itibarı, gelen DMARC/DKIM kontrolü ve temel kötü amaçlı yazılım taramasını yürütür.
3. Defender for Office 365
Safe Attachments (Sandbox analizi), Safe Links (Tıklama anı URL kontrolü) ve AI tabanlı Impersonation (Taklit) koruması devreye girer.
SPF (Sender Policy Framework) Yapılandırması ve 10 DNS Sorgu Limiti
Yetkili Gönderici Sunucuların TanımlanmasıSPF, alan adınız (domain) adına hangi IP adreslerinin veya bulut servislerinin e-posta gönderme yetkisine sahip olduğunu 공용 (public) DNS üzerinde bir TXT kaydı ile ilan etmenizi sağlar. Alıcı posta sunucusu, e-postanın zarf göndericisini (Return-Path / Mail From) kontrol eder ve bağlantı kuran IP adresinin SPF kaydınızda olup olmadığına bakar.
include, a, mx, ptr) içerebilir. 10 sınırı aşılırsa alıcı sunucular PermError (Kalıcı Hata) döndürür ve mailleriniz reddedilir. Statik IP'ler için include yerine doğrudan ip4: mekanizmasını (sorgu hakkı harcamaz) kullanın; pazarlama bültenleri içinse bulten.sirketiniz.com gibi alt alan adları (subdomain) oluşturarak SPF yükünü dağıtın.
DKIM (DomainKeys Identified Mail) ve CNAME Mimarisi
E-Postaların Kriptografik İmza ile MühürlenmesiSPF tek başına yönlendirilen (forwarded) e-postalarda kırılır ve kullanıcının Outlook'ta gördüğü From (Kimden) başlığını doğrulamaz. DKIM ise giden her e-postanın başlığına (Header) kriptografik bir dijital imza ekler. Exchange Online, kendi bünyesinde barındırdığı özel anahtarla (Private Key) maili imzalar; alıcı sunucu ise sizin DNS'inize eklediğiniz CNAME kayıtları üzerinden açık anahtarı (Public Key) okuyarak imzayı doğrular.
Exchange Online'da özel alan adınız için DKIM'i etkinleştirmek üzere Public DNS'inize şu iki CNAME kaydını eklemeniz gerekir:
- Exchange Online üzerinde yeni oluşturulan DKIM anahtarlarının 2048-bit uzunluğunda olduğundan emin olun (eski 1024-bit anahtarları PowerShell ile
Rotate-DkimSigningConfig -KeySize 2048komutuyla yükseltin). - İki adet selector (
selector1veselector2) kullanılmasının sebebi, anahtar değişimi (rotation) sırasında kesinti yaşanmamasıdır.
DMARC Mimarisi: İzlemeden Tam Reddetmeye (Reject) Geçiş
Kimlik Hizalaması (Alignment) ve RaporlamaDMARC (Domain-based Message Authentication, Reporting, and Conformance), SPF ve DKIM sonuçlarını kullanıcının gördüğü Header From alan adıyla hizalar (Identifier Alignment). Eğer bir saldırgan kendi sunucusundan SPF'i geçecek şekilde mail atsa bile, görünen adreste ceo@sirketiniz.com yazıyorsa DMARC hizalaması başarısız olur ve sahte mail yakalanır.
Kurumsal bir yapıda meşru e-posta trafiğini kesintiye uğratmadan DMARC devreye almak için 3 aşamalı geçiş stratejisi uygulanmalıdır:
| Aşama | DMARC Politikası | Örnek DNS TXT Kaydı (_dmarc.sirketiniz.com) |
Mimari Amaç |
|---|---|---|---|
| Faz 1: İzleme (2-4 Hafta) | p=none |
v=DMARC1; p=none; rua=mailto:dmarc@sirketiniz.com; fo=1; |
Hiçbir maili engellemez; XML raporları ile unutulmuş 3. parti gönderici servisleri tespit eder. |
| Faz 2: Karantina (2-4 Hafta) | p=quarantine |
v=DMARC1; p=quarantine; pct=50; rua=mailto:dmarc@sirketiniz.com; |
Doğrulamadan geçemeyen sahte mailleri alıcının Junk/Karantina klasörüne yönlendirir. |
| Faz 3: Tam Koruma (Kalıcı) | p=reject |
v=DMARC1; p=reject; pct=100; adkim=s; aspf=s; rua=mailto:dmarc@sirketiniz.com; |
Yetkisiz tüm sahte mailleri alıcı sunucu kapısında tamamen reddeder (Spoofing sıfırlanır). |
Microsoft Defender for Office 365 ve PowerShell Otomasyonu
Taklit Koruması (Impersonation), Safe Links ve Safe AttachmentsSPF, DKIM ve DMARC sizin alan adınızın taklit edilmesini önler; ancak saldırganların sirketiniz.com yerine sirketlniz.com (Lookalike Domain) alarak veya ele geçirilmiş gerçek bir Gmail/M365 hesabından zararlı dosya göndermesini engellemek için Microsoft Defender for Office 365 katmanı devreye girmelidir:
- Anti-Phishing & Impersonation Protection: Üst düzey yöneticilerin (C-Level, Finans, İK) ad-soyadlarını ve kurumsal alan adlarınızı Protected Users / Domains listesine ekleyerek benzer harfli (homoglyphs) sahte mailleri karantinaya alın ve Mailbox Intelligence özelliğini aktif edin.
- Safe Attachments (Dynamic Delivery): E-posta eklerini sanal bir kum havuzunda (Sandbox) açıp davranışsal olarak analiz eder. Kullanıcı gecikme yaşamasın diye Dynamic Delivery moduyla metin hemen teslim edilir, ek dosya tarama bitince (30-60 sn içinde) mesaja eklenir.
- Safe Links: E-posta ve Microsoft Teams içindeki bağlantıları tıklama anında (Time-of-Click) kontrol eder; link sonradan zararlı bir siteye yönlendirilse bile erişimi keser.
Exchange Online ortamınızdaki tüm alan adlarının DKIM durumunu kontrol etmek, yeni 2048-bit DKIM anahtarları oluşturmak ve Anti-Phishing politikalarını ExchangeOnlineManagement PowerShell modülü ile yönetmek için aşağıdaki komut setini kullanabilirsiniz:
- SPF, DKIM ve DMARC mesajın kimliğini korurken; sunucular arası SMTP trafiğinin şifrelemesinin düşürülmesini (Downgrade Attack) önlemek için Exchange Online üzerinde MTA-STS ve DNSSEC ile DANE (Outbound/Inbound) protokollerini de mimari yol haritanıza ekleyin.
- Kullanılmayan (Park edilmiş / Parked) kurumsal alan adlarınız için mutlaka
v=spf1 -allvev=DMARC1; p=reject;kayıtlarını girerek saldırganların atıl domainlerinizi kullanmasını engelleyin.
Mimari Özet: Kusursuz E-Posta Güvenliği İçin 5 Adım
Exchange Online ve Microsoft Defender for Office 365 üzerinde sıfır güvene dayalı bir e-posta mimarisi kurmak için şu 5 adımı standart prosedür haline getirin:
- SPF kaydınızı 10 DNS sorgu limitinin altında tutun ve kuralı her zaman
~all(SoftFail) veya-all(HardFail) ile sonlandırın. - Tüm özel alan adlarınız ve
onmicrosoft.comadresiniz için 2048-bit DKIM imzalamasını etkinleştirin. - DMARC raporlarını düzenli analiz ederek politikanızı kademeli olarak
p=rejectseviyesine yükseltin. - Kritik yöneticiler ve finans ekibi için Defender for Office 365 üzerinde Strict (Sıkı) koruma profilini ve Impersonation (Taklit) kurallarını devreye alın.
- Kullanıcıların dışarıdan gelen e-postaları anında fark edebilmesi için Exchange Online yerel External Sender Tagging (
Set-ExternalInOutlook -Enabled $true) özelliğini aktifleştirin.
Yorumlar
Yorum Gönder